None
RU
Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за пределы базового каталога
[]
OpenNews.opennet.ru: Проблемы безопасности
Проблеме присвоен критический уровень опасности c учётом того, что пакет tar-fs имеет 23 миллиона загрузок в неделю и используется как зависимость в 1155 проектах.
Уязвимость вызвана недостаточными проверками имеющихся в архиве символических и жёстких ссылок на предмет их выхода за пределы целевого каталога для распаковки.
"), а вторая создаётся относительно первой символической ссылки и использует в имени символы "../" для выхода за пределы базового каталога.
Для записи файлов вне базового каталога в 7-Zip также могут использоваться символические ссылки, имеющие последовательность "../" в файловом пути.
Проблема может быть эксплуатирована при распаковке при помощи 7-Zip любых архивов, поддерживающих символические ссылки, например, zip, tar, 7z и rar.
['за'
'каталога'
'базового'
'7zip'
'файлов'
'в'
'символические'
'файлы'
'при'
'уязвимости'
'записать'
'на'
'и'
'для'
'уязвимость'
'пределы'
'ссылки'
'позволяющие']