Contournement du filtre d'extraction pour créer des liens symboliques vers des cibles arbitraires en dehors du répertoire d'extraction

Un attaquant peut exploiter cette vulnérabilité en créant une archive tar malveillante qui, lors de l'extraction avec TarFile.extractall() ou TarFile.extract() en utilisant le paramètre filter=, contourne le filtre d'extraction. Cela permet à l'attaquant de spécifier des liens symboliques pointant vers des emplacements en dehors du répertoire de destination prévu, potentiellement écrasant des fichiers critiques du système ou modifiant des métadonnées de fichiers. L'impact peut aller de la corruption de données à la prise de contrôle du système, en fonction des privilèges de l'utilisateur exécutant le code Python. Cette vulnérabilité est particulièrement préoccupante dans les environnements où des archives tar non fiables sont traitées automatiquement.

Systems using Python 3.10.0 through 3.14.0b3 that process untrusted tar archives are at risk. This includes web applications, automation scripts, and any system that relies on the tarfile module to extract archives from external sources. Shared hosting environments where multiple users can upload files are particularly vulnerable.

• python / server:

find / -name '*tar.gz' -o -name '*tar.bz2' -o -name '*tar'

• python / supply-chain:

import os
import tarfile

def check_tarfile_extraction(filepath, destination):
    try:
        with tarfile.open(filepath, 'r') as tar:
            tar.extractall(path=destination, filter='data') # Vulnerable code
        return False # No vulnerability detected
    except Exception as e:
        return True # Vulnerability detected

# Example usage (replace with actual filepaths)
filepath = '/path/to/your/archive.tar.gz'
destination = '/tmp/extraction_test'
if check_tarfile_extraction(filepath, destination):
    print(f"Potential vulnerability detected in {filepath}")
else:
    print(f"No vulnerability detected in {filepath}")

1. 2025-06-03Disclosure

   disclosure

1. Réservé2025-04-30
2. Publiée2025-06-03
3. Modifiée2026-04-21
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Python vers la version 3.14.0b3 ou supérieure, où la vulnérabilité a été corrigée. Si la mise à jour n'est pas immédiatement possible, il est fortement recommandé d'éviter d'utiliser le paramètre filter= avec les valeurs "data" ou "tar" lors de l'extraction d'archives tar non fiables. En alternative, validez rigoureusement le contenu des archives tar avant l'extraction, en vérifiant les chemins d'accès et les métadonnées des fichiers. Il n'existe pas de règles WAF spécifiques pour cette vulnérabilité, mais une validation stricte des entrées est essentielle. La détection peut se faire en surveillant les tentatives d'extraction d'archives tar avec des chemins d'accès suspects.