Ignora filtro de extração para vinculação fora do diretório de extração

Um atacante pode explorar esta vulnerabilidade ao fornecer um arquivo tar malicioso que contenha links simbólicos projetados para sobrescrever arquivos fora do diretório de extração pretendido. Isso pode levar à modificação de arquivos críticos do sistema, execução de código arbitrário ou negação de serviço. A capacidade de modificar metadados de arquivos também pode ser explorada para fins de escalonamento de privilégios ou para ocultar atividades maliciosas. A exploração bem-sucedida depende da utilização da função TarFile.extractall() ou TarFile.extract() com o parâmetro filter definido como 'data' ou 'tar' ao processar arquivos tar não confiáveis.

Systems that automatically process untrusted tar archives, such as build servers, data ingestion pipelines, or web applications that allow users to upload archives, are particularly at risk. Environments using older Python versions (3.10.0 - 3.14.0b3) are also vulnerable. Shared hosting environments where multiple users can upload files are also at increased risk.

• python / server:

find / -name '*.tar.gz' -o -name '*.tar.bz2' -o -name '*.tar'

• python / server:

journalctl -u python3 | grep "TarFile.extractall" | grep "filter="

• python / server:

ps aux | grep "TarFile.extractall" | grep "filter="

1. 2025-06-03Disclosure

   disclosure

1. Reservado2025-05-05
2. Publicada2025-06-03
3. Modificada2026-04-21
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar para a versão 3.14.0b3 do Python, que corrige esta vulnerabilidade. Se a atualização imediata não for possível, evite o uso do parâmetro filter ao extrair arquivos tar não confiáveis. Considere o uso de uma camada de validação para verificar a integridade dos arquivos tar antes da extração. Implementar um Web Application Firewall (WAF) pode ajudar a bloquear solicitações maliciosas que tentam explorar esta vulnerabilidade. Monitore os logs do sistema em busca de atividades suspeitas relacionadas à extração de arquivos tar.