{"id":146043,"date":"2025-10-21T23:12:42","date_gmt":"2025-10-21T21:12:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva"},"modified":"2025-10-21T23:12:42","modified_gmt":"2025-10-21T21:12:43","slug":"uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/uyazvimost-v-rust-bibliotekah-dlya-formata-tar-privodyashhaya-k-raspakovke-fajlov-iz-vlozhennogo-arhiva","title":{"rendered":"S\u00e5rbarhet i Rust-bibliotek f\u00f6r TAR-formatet som leder till extrahering av filer fr\u00e5n en inb\u00e4ddad arkiv","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I det Rust-baserade biblioteket async-tar, som erbjuder funktioner f\u00f6r att l\u00e4sa och skriva tar-arkiv, har en s\u00e5rbarhet identifierats (CVE-2025-62518, kodnamn TARmageddon) som g\u00f6r det m\u00f6jligt vid extrahering av ett specialutformat tar-arkiv inte bara att extrahera filerna i det, utan ocks\u00e5 filer som finns i det inb\u00e4ddade tar-arkivet. S\u00e5rbarheten kan anv\u00e4ndas f\u00f6r att kringg\u00e5 arkivverifieringssystem och extrahera filer som inte har verifierats. <\/p>\n
S\u00e5rbarheten f\u00f6rekommer \u00e4ven i forkar av biblioteket async-tar, s\u00e5som tokio-tar, krata-tokio-tar och astral-tokio-tar, liksom i verktyg baserade p\u00e5 dem, som paketf\u00f6rvaltaren uv, som utvecklas som ett h\u00f6gpresterande alternativ till \"pip\" f\u00f6r projekt p\u00e5 spr\u00e5ket Python. Bland de popul\u00e4ra projekten som anv\u00e4nder s\u00e5rbara bibliotek m\u00e4rks \u00e4ven testcontainers-verktyget f\u00f6r att k\u00f6ra docker-containrar och WebAssembly-runtime wasmCloud. I repositoriet crates.is har biblioteket async-tar haft 1,3 miljoner nedladdningar under de senaste 90 dagarna, tokio-tar \u2014 2,2 miljoner, testcontainers \u2014 2,9 miljoner. <\/p>\n
S\u00e5rbarheten orsakas av felaktigt val av position vid tolkning av olika storleksv\u00e4rden i ustar- och PAX-rubriker. I tar-arkiv i PAX-format anges tv\u00e5 rubriker f\u00f6r varje fil inuti arkivet \u2014 den klassiska ustar och den ut\u00f6kade PAX. Problemet uppst\u00e5r eftersom de s\u00e5rbara biblioteken vid extrahering av filer ist\u00e4llet f\u00f6r att ber\u00e4kna f\u00f6rskjutningen baserat p\u00e5 storleken fr\u00e5n den ut\u00f6kade PAX-rubriken tog storleken fr\u00e5n den f\u00f6r\u00e5ldrade ustar-rubriken. Vid nollstorlek i ustar-rubriken behandlades inneh\u00e5llet efter detta som en korrekt TAR-rubrik f\u00f6r n\u00e4sta fil.
<\/center>
<\/center> <\/p>\n
F\u00f6r att utf\u00f6ra en attack r\u00e4cker det att skapa ett TAR-arkiv d\u00e4r nollstorleken anges i ustar-huvudet, medan det aktuella storleksv\u00e4rdet anges i PAX-huvudet, vilket g\u00f6r att inneh\u00e5llet av en fil med ett annat tar-arkiv kommer att behandlas som en del av huvudarkivet. Exempel p\u00e5 kod f\u00f6r att skapa s\u00e5dana arkiv finns p\u00e5 GitHub. S\u00e5rbarheten har \u00e5tg\u00e4rdats i versioner av tokio-tar 0.5.6 och uv 0.9.5. F\u00f6r de \u00f6vriga biblioteken har inga patchar publicerats \u00e4n, men patchar har f\u00f6rberetts f\u00f6r astral-tokio-tar, async-tar och krata-tokio-tar. <\/p>\n
S\u00e5rbarheten i biblioteken har bed\u00f6mts med en riskniv\u00e5 p\u00e5 8,1 av 10, eftersom problemet kan anv\u00e4ndas f\u00f6r att skriva \u00f6ver extraherade filer (i s\u00e5rbara implementationer kommer andra filer \u00e4n de som syntes i arkivet att extraheras). S\u00e5rbarheten i paketf\u00f6rvaltaren uv har dock m\u00e4rkts som icke-farlig, eftersom om en angripare kan p\u00e5verka inneh\u00e5llet i det ursprungliga arkivet, finns det ingen mening med att komplicera attacken och utnyttja s\u00e5rbarheten genom ett inb\u00e4ddat arkiv, n\u00e4r det ist\u00e4llet g\u00e5r att utf\u00f6ra kod via byggscript i det huvudsakliga arkivet. <\/p>\n
De forskare som uppt\u00e4ckte s\u00e5rbarheten f\u00f6reslog flera hypotetiska attackscenarier, som g\u00f6r det m\u00f6jligt att kringg\u00e5 s\u00e4kerhetskontroller och uppn\u00e5 kodexekvering genom att byta ut konfigurationsfiler eller p\u00e5verka byggprocessen. Det f\u00f6ruts\u00e4tts att det mottagna arkivet kommer att klara automatiserade kontroller av s\u00e4kerhetsscannern och en manuell granskning, d\u00e4r granskaren inte uppm\u00e4rksammar ett konstigt inb\u00e4ddat arkiv med andra filer, efter vilket annat inneh\u00e5ll \u00e4n v\u00e4ntat kommer att extraheras med Rust-bibliotek vid uppackning. <\/p>\n
Till exempel kan en angripare ladda upp ett modifierat arkiv till PyPI-repositoriet, vilket kommer att klara av granskningen baserat p\u00e5 inneh\u00e5llet i det huvudsakliga arkivet, som inneh\u00e5ller en legitim fil pyproject.toml. Vid bearbetning av detta paket med verktyget uv kommer den legitima pyproject.toml att ers\u00e4ttas med en skadlig version fr\u00e5n det inb\u00e4ddade arkivet, som inneh\u00e5ller kommandon som kommer att utf\u00f6ras vid byggandet p\u00e5 utvecklarens dator eller i CI-systemet. P\u00e5 samma s\u00e4tt kan man organiserar \u00f6verskrivning av beh\u00e5llarfiler vid extrahering av en containerbild med hj\u00e4lp av verktyget testcontainers. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"S\u00e5rbarhet](\"\/wp-content\/uploads\/2025\/10\/7de5eeee8420b77faa0bca075f275700.png\")
<\/center> ![\"S\u00e5rbarhet](\"\/wp-content\/uploads\/2025\/10\/538645342d5a4408b327ffd87c659c4f.png\")
<\/center> <\/p>\n