绕过提取过滤器，创建指向目标目录外部任意目标的符号链接

此漏洞的潜在影响非常严重。攻击者可以利用此漏洞在目标系统上创建恶意文件，甚至可能在目标目录之外写入文件，从而导致未经授权的访问和数据泄露。攻击者可以利用此漏洞修改文件权限、覆盖重要系统文件，甚至可能执行任意代码。如果攻击者能够控制压缩包的内容，他们可以完全控制解压后的文件系统。由于 tarfile 模块广泛应用于各种 Python 应用程序中，因此此漏洞的潜在影响范围非常广泛。

Systems using Python 3.10.0 through 3.14.0b3 that process untrusted tar archives are at risk. This includes web applications, automation scripts, and any system that relies on the tarfile module to extract archives from external sources. Shared hosting environments where multiple users can upload files are particularly vulnerable.

• python / server:

find / -name '*tar.gz' -o -name '*tar.bz2' -o -name '*tar'

• python / supply-chain:

import os
import tarfile

def check_tarfile_extraction(filepath, destination):
    try:
        with tarfile.open(filepath, 'r') as tar:
            tar.extractall(path=destination, filter='data') # Vulnerable code
        return False # No vulnerability detected
    except Exception as e:
        return True # Vulnerability detected

# Example usage (replace with actual filepaths)
filepath = '/path/to/your/archive.tar.gz'
destination = '/tmp/extraction_test'
if check_tarfile_extraction(filepath, destination):
    print(f"Potential vulnerability detected in {filepath}")
else:
    print(f"No vulnerability detected in {filepath}")

1. 2025-06-03Disclosure

   disclosure

1. 已保留2025-04-30
2. 发布日期2025-06-03
3. 修改日期2026-04-21
4. EPSS 更新日期2026-03-23

为了缓解 CVE-2025-4138 的风险，建议立即升级到 Python 3.14.0b3 或更高版本。如果无法立即升级，可以考虑使用更严格的提取过滤器，或者验证压缩包的内容是否可信。避免使用 filter=“data”或 filter=“tar”参数。在解压之前，可以使用第三方工具扫描压缩包，以检测潜在的恶意文件。此外，可以考虑使用更安全的压缩格式，例如 zip，它具有内置的安全机制来防止符号链接攻击。