{"id":146043,"date":"2025-10-21T23:12:42","date_gmt":"2025-10-21T21:12:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva"},"modified":"2025-10-21T23:12:42","modified_gmt":"2025-10-21T21:12:43","slug":"uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","title":{"rendered":"Vulnerabilidade em bibliotecas Rust para o formato TAR, que permite a extra\u00e7\u00e3o de arquivos de um arquivo aninhado.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Foi identificada uma vulnerabilidade na biblioteca async-tar, escrita em Rust, que fornece fun\u00e7\u00f5es para leitura e grava\u00e7\u00e3o de arquivos tar (CVE-2025-62518, codinome TARmageddon). Ao descompactar um arquivo tar especialmente formatado, \u00e9 poss\u00edvel n\u00e3o apenas extrair os arquivos contidos nele, mas tamb\u00e9m arquivos de um arquivo tar aninhado. A vulnerabilidade pode ser explorada para contornar sistemas de verifica\u00e7\u00e3o de arquivos e descompactar arquivos que n\u00e3o passaram por verifica\u00e7\u00e3o. <\/p>\n
A vulnerabilidade tamb\u00e9m se manifesta em forks da biblioteca async-tar, como tokio-tar, krata-tokio-tar e astral-tokio-tar, assim como em utilit\u00e1rios baseados neles, como o gerenciador de pacotes uv, desenvolvido como uma substitui\u00e7\u00e3o de alto desempenho ao 'pip' para projetos em Python. Entre os projetos populares que usam bibliotecas vulner\u00e1veis, tamb\u00e9m se destacam a ferramenta testcontainers para executar cont\u00eaineres docker e o tempo de execu\u00e7\u00e3o WebAssembly wasmCloud. No reposit\u00f3rio crates.is, nos \u00faltimos 90 dias, a biblioteca async-tar teve 1,3 milh\u00f5es de downloads, tokio-tar \u2014 2,2 milh\u00f5es, testcontainers \u2014 2,9 milh\u00f5es. <\/p>\n
A vulnerabilidade \u00e9 causada pela escolha incorreta da posi\u00e7\u00e3o ao analisar diferentes valores de tamanho nos cabe\u00e7alhos ustar e PAX. Em arquivos tar no formato PAX, para cada arquivo dentro do arquivo, s\u00e3o especificados dois cabe\u00e7alhos \u2014 o cl\u00e1ssico ustar e o expandido PAX. O problema \u00e9 que as bibliotecas vulner\u00e1veis, ao descompactar arquivos, em vez de calcular o deslocamento com base no tamanho do cabe\u00e7alho expandido PAX, pegavam o tamanho do cabe\u00e7alho ustar obsoleto. Com um valor zero de tamanho no cabe\u00e7alho ustar, o conte\u00fado seguinte do arquivo era tratado como um bloco de cabe\u00e7alhos TAR v\u00e1lido para o pr\u00f3ximo arquivo.
<\/center>
<\/center> <\/p>\n
Para realizar um ataque, basta criar um arquivo TAR onde o cabe\u00e7alho ustar indica um tamanho zero e o cabe\u00e7alho para o formato PAX indica o tamanho atual, fazendo com que o conte\u00fado do arquivo com outro arquivo tar seja tratado como parte do arquivo principal. Um exemplo de c\u00f3digo para criar esses arquivos est\u00e1 dispon\u00edvel no GitHub. A vulnerabilidade foi corrigida nas vers\u00f5es tokio-tar 0.5.6 e uv 0.9.5. Para as outras bibliotecas, as corre\u00e7\u00f5es ainda n\u00e3o foram publicadas, mas patches foram preparados separadamente para astral-tokio-tar, async-tar e krata-tokio-tar. <\/p>\n
As vulnerabilidades nas bibliotecas foram classificadas com um n\u00edvel de gravidade de 8,1 em 10, pois o problema pode ser explorado para sobrescrever arquivos extra\u00eddos (em implementa\u00e7\u00f5es vulner\u00e1veis, arquivos diferentes dos vis\u00edveis no arquivo ser\u00e3o extra\u00eddos). Por outro lado, a vulnerabilidade no gerenciador de pacotes uv foi marcada como n\u00e3o cr\u00edtica, pois se um atacante puder influenciar o conte\u00fado do arquivo original, n\u00e3o h\u00e1 necessidade de complicar o ataque explorando a vulnerabilidade atrav\u00e9s de um arquivo aninhado, quando \u00e9 poss\u00edvel executar c\u00f3digo atrav\u00e9s de scripts de build no arquivo principal. <\/p>\n
Os pesquisadores que descobriram a vulnerabilidade sugeriram v\u00e1rios cen\u00e1rios hipot\u00e9ticos de ataque que permitem contornar verifica\u00e7\u00f5es de seguran\u00e7a e executar c\u00f3digo substituindo arquivos de configura\u00e7\u00e3o ou interferindo no processo de build. Assume-se que o arquivo enviado pode passar por uma verifica\u00e7\u00e3o automatizada de um scanner de seguran\u00e7a e uma auditoria manual, durante a qual o auditor pode n\u00e3o perceber um arquivo aninhado estranho com outros arquivos, e ent\u00e3o, ao descompactar com bibliotecas Rust, ser\u00e1 extra\u00eddo um conte\u00fado diferente do esperado. <\/p>\n
Por exemplo, um atacante pode enviar um arquivo modificado ao reposit\u00f3rio PyPI, que passar\u00e1 na verifica\u00e7\u00e3o baseada na an\u00e1lise do conte\u00fado do arquivo principal, que cont\u00e9m um arquivo leg\u00edtimo pyproject.toml. Ao processar este pacote usando a ferramenta uv, o leg\u00edtimo pyproject.toml ser\u00e1 substitu\u00eddo por uma vers\u00e3o maliciosa do arquivo aninhado, contendo comandos que ser\u00e3o executados durante a constru\u00e7\u00e3o no computador do desenvolvedor ou no sistema de integra\u00e7\u00e3o cont\u00ednua. Da mesma forma, \u00e9 poss\u00edvel organizar a sobrescri\u00e7\u00e3o de arquivos do cont\u00eainer ao extrair a imagem do cont\u00eainer usando a ferramenta testcontainers. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Vulnerabilidade](\"\/wp-content\/uploads\/2025\/10\/7de5eeee8420b77faa0bca075f275700.png\")
<\/center> ![\"Vulnerabilidade](\"\/wp-content\/uploads\/2025\/10\/538645342d5a4408b327ffd87c659c4f.png\")
<\/center> <\/p>\n