Escrituras arbitrarias a través de desbordamiento realpath de tarfile

Un atacante puede explotar esta vulnerabilidad para escribir archivos arbitrarios en el sistema de archivos del host donde se ejecuta el código Python. Esto podría resultar en la ejecución de código malicioso, la modificación de archivos de configuración críticos, el robo de datos sensibles o incluso el control total del sistema. La falla se produce al utilizar la función TarFile.extractall() o TarFile.extract() con el parámetro filter establecido en "data" o "tar" al procesar archivos tar no confiables. La gravedad de esta vulnerabilidad se debe a la posibilidad de ejecución remota de código, lo que la convierte en una amenaza significativa para la seguridad de los sistemas que utilizan el módulo tarfile para procesar archivos tar de fuentes externas.

Applications and systems that rely on the Python tarfile module to process untrusted tar archives are at risk. This includes build systems, deployment pipelines, and any application that accepts tar archives from external sources. Shared hosting environments where multiple users can upload files are particularly vulnerable.

• python / server:

find / -name '*.tar.gz' -type f -print0 | xargs -0 grep -i 'data filter'

• python / supply-chain: Inspect Python dependencies for vulnerable versions of tarfile. • generic web: Monitor web server access logs for requests containing tar.gz archives, especially those originating from untrusted sources.

1. 2025-06-03Disclosure

   disclosure

1. Reservado2025-05-09
2. Publicada2025-06-03
3. Modificada2026-04-21
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar a Python 3.14.0b3 o una versión posterior, donde la vulnerabilidad ha sido corregida. Si la actualización no es posible de inmediato, se recomienda evitar el uso del parámetro filter al extraer archivos tar no confiables. Como alternativa, se puede implementar una validación estricta de los archivos tar antes de la extracción para garantizar que no contengan rutas de archivo maliciosas. Además, se puede considerar el uso de un entorno de ejecución aislado (sandbox) para limitar el impacto potencial de la explotación. Después de la actualización, confirme la corrección verificando que el módulo tarfile se comporta como se espera al extraer archivos tar de fuentes no confiables.