Extractiefilter omzeiling voor linken buiten extractiedirectory

Deze kwetsbaarheid kan leiden tot ernstige beveiligingsproblemen. Een aanvaller kan, door een kwaadwillig tar-archief te creëren en te extraheren, bestanden op het systeem plaatsen waar ze niet horen, waardoor gevoelige data in gevaar komt. Bovendien kan de modificatie van bestandsmetadata leiden tot onverwacht gedrag van applicaties en systemen. De impact is vergelijkbaar met scenario's waarbij een aanvaller controle krijgt over de bestandsstructuur van een systeem via een onbetrouwbare bron. Dit kan leiden tot dataverlies, compromittering van de integriteit van het systeem en mogelijk zelfs overname van het systeem.

Systems that automatically process untrusted tar archives, such as build servers, data ingestion pipelines, or web applications that allow users to upload archives, are particularly at risk. Environments using older Python versions (3.10.0 - 3.14.0b3) are also vulnerable. Shared hosting environments where multiple users can upload files are also at increased risk.

• python / server:

find / -name '*.tar.gz' -o -name '*.tar.bz2' -o -name '*.tar'

• python / server:

journalctl -u python3 | grep "TarFile.extractall" | grep "filter="

• python / server:

ps aux | grep "TarFile.extractall" | grep "filter="

1. 2025-06-03Disclosure

   disclosure

1. Gereserveerd2025-05-05
2. Gepubliceerd2025-06-03
3. Gewijzigd2026-04-21
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden naar Python 3.14.0b3, waar de standaardwaarde van de filter parameter is gewijzigd om deze kwetsbaarheid te verhelpen. Indien een upgrade niet direct mogelijk is, vermijd dan het gebruik van de filter parameter met de waarden 'data' of 'tar' bij het extraheren van onbetrouwbare tar-archieven. Overweeg het gebruik van een whitelist-aanpak voor de extractiefilter, waarbij alleen bekende en veilige paden worden toegestaan. Controleer de tar-archieven op verdachte symlinks voordat ze worden geëxtraheerd. Na de upgrade, verifieer de correcte werking van de tarfile module door een testextractie uit te voeren met een bekende, veilige tar-archief.