Ignorando o filtro de extração para criar symlinks para alvos arbitrários fora do diretório de extração

Um atacante pode explorar essa vulnerabilidade fornecendo um arquivo tar malicioso que contenha links simbólicos (symlinks) apontando para locais fora do diretório de extração pretendido. Ao ignorar os filtros de extração, o tarfile pode extrair esses links simbólicos, permitindo que o atacante escreva arquivos em locais arbitrários no sistema de arquivos. Isso pode levar à substituição de arquivos importantes, à instalação de malware ou à obtenção de acesso não autorizado a dados confidenciais. A vulnerabilidade é particularmente perigosa em ambientes onde o tarfile é usado para processar arquivos tar recebidos de fontes não confiáveis, como uploads de usuários ou downloads da internet.

Systems using Python 3.10.0 through 3.14.0b3 that process untrusted tar archives are at risk. This includes web applications, automation scripts, and any system that relies on the tarfile module to extract archives from external sources. Shared hosting environments where multiple users can upload files are particularly vulnerable.

• python / server:

find / -name '*tar.gz' -o -name '*tar.bz2' -o -name '*tar'

• python / supply-chain:

import os
import tarfile

def check_tarfile_extraction(filepath, destination):
    try:
        with tarfile.open(filepath, 'r') as tar:
            tar.extractall(path=destination, filter='data') # Vulnerable code
        return False # No vulnerability detected
    except Exception as e:
        return True # Vulnerability detected

# Example usage (replace with actual filepaths)
filepath = '/path/to/your/archive.tar.gz'
destination = '/tmp/extraction_test'
if check_tarfile_extraction(filepath, destination):
    print(f"Potential vulnerability detected in {filepath}")
else:
    print(f"No vulnerability detected in {filepath}")

1. 2025-06-03Disclosure

   disclosure

1. Reservado2025-04-30
2. Publicada2025-06-03
3. Modificada2026-04-21
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar para a versão 3.14.0b3 do Python, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere as seguintes medidas: evite usar o parâmetro filter= com valores como "data" ou "tar" ao extrair arquivos tar não confiáveis. Implemente uma validação rigorosa dos arquivos tar antes da extração, verificando a integridade dos links simbólicos e garantindo que eles apontem para locais seguros. Utilize um sistema de arquivos com permissões restritivas para limitar o impacto potencial de uma exploração bem-sucedida. Considere o uso de um WAF (Web Application Firewall) para bloquear solicitações que contenham arquivos tar maliciosos.