Eludir el filtro de extracción para crear enlaces simbólicos a objetivos arbitrarios fuera del directorio de extracción

Un atacante podría explotar esta vulnerabilidad para escribir archivos arbitrarios en el sistema, potencialmente comprometiendo la integridad y confidencialidad de los datos. Al ignorar los filtros de extracción, un atacante puede crear enlaces simbólicos que apunten a ubicaciones fuera del directorio de destino, permitiendo la modificación de archivos críticos del sistema. La manipulación de metadatos también podría usarse para ocultar archivos maliciosos o alterar la información sobre los archivos legítimos, dificultando la detección y respuesta a incidentes. Esta vulnerabilidad es particularmente preocupante en entornos donde se procesan archivos tar no confiables.

Systems using Python 3.10.0 through 3.14.0b3 that process untrusted tar archives are at risk. This includes web applications, automation scripts, and any system that relies on the tarfile module to extract archives from external sources. Shared hosting environments where multiple users can upload files are particularly vulnerable.

• python / server:

find / -name '*tar.gz' -o -name '*tar.bz2' -o -name '*tar'

• python / supply-chain:

import os
import tarfile

def check_tarfile_extraction(filepath, destination):
    try:
        with tarfile.open(filepath, 'r') as tar:
            tar.extractall(path=destination, filter='data') # Vulnerable code
        return False # No vulnerability detected
    except Exception as e:
        return True # Vulnerability detected

# Example usage (replace with actual filepaths)
filepath = '/path/to/your/archive.tar.gz'
destination = '/tmp/extraction_test'
if check_tarfile_extraction(filepath, destination):
    print(f"Potential vulnerability detected in {filepath}")
else:
    print(f"No vulnerability detected in {filepath}")

1. 2025-06-03Disclosure

   disclosure

1. Reservado2025-04-30
2. Publicada2025-06-03
3. Modificada2026-04-21
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar a Python 3.14.0b3, donde el valor predeterminado del parámetro filter ha sido modificado para mejorar la seguridad. Si la actualización no es posible de inmediato, se recomienda evitar el uso del parámetro filter con valores "data" o "tar". Alternativamente, implemente filtros de extracción personalizados que validen rigurosamente las rutas de los archivos antes de la extracción. Considere el uso de herramientas de análisis de archivos tar para identificar posibles amenazas antes de procesarlos. Revise y actualice las políticas de seguridad para restringir el acceso a archivos tar no confiables.