No módulo tarfile incluído no Python, que fornece funções para ler e escrever arquivos tar, foram identificadas cinco vulnerabilidades, sendo uma delas classificada como crítica. As vulnerabilidades foram corrigidas nas versões Python 3.13.4 e 3.12.11. A vulnerabilidade mais perigosa (CVE-2025-4517) permite que, ao descompactar um arquivo especificamente formatado, arquivos sejam gravados em qualquer parte do sistema de arquivos. Em scripts de sistema que utilizam tarfile e são executados com permissões de root (como em utilitários para gerenciar pacotes e containers isolados), a vulnerabilidade pode ser utilizada para elevar privilégios ou sair do container isolado.
A vulnerabilidade afeta projetos onde o módulo tarfile é utilizado para descompactar arquivos tar não confiáveis, usando a função TarFile.extractall() ou TarFile.extract() com o parâmetro "filter=" configurado como "data" ou "tar". A vulnerabilidade resulta de um tratamento incorreto da sequência ".." no nome do link. O problema afeta versões do Python a partir da 3.12. O modo ‘filter=“data”’ é aplicado por padrão na ramificação do Python 3.14, que está em desenvolvimento (o lançamento está previsto para o outono).
Outras vulnerabilidades no TarFile:
- CVE-2025-4330 — possibilidade de contornar o filtro de dados extraídos, o que pode permitir a extração de um link simbólico que aponta para fora do diretório base onde a descompactação é realizada.
- CVE-2025-4138 — possibilidade de criar links simbólicos arbitrários fora do diretório base ao descompactar arquivos com o parâmetro ‘filter=“data”’.
- CVE-2024-12718 — possibilidade de modificar metadados (como o tempo de modificação) de arquivos fora do diretório base ao descompactar arquivos com o parâmetro ‘filter=“data”’ ou direitos de acesso (chmod) ao descompactar arquivos com o parâmetro ‘filter=“tar”’.
- CVE-2025-4435 — se ao descompactar um arquivo o parâmetro TarFile.errorlevel é definido como 0, então, ao contrário da documentação, os elementos do arquivo que se enquadram no filtro definido eram descompactados em vez de serem ignorados.
Fonte: opennet.ru
