Уязвимость в модуле tarfile | Блог Касперского

[KL FC Bot]

В сентябре 2022 года компания Trellix опубликовала отчет об уязвимости в модуле tarfile. Это стандартная библиотека языка программирования Python, воспользоваться которой может любой желающий. Уязвимость позволяет записать в произвольную папку на жестком диске произвольный файл, а в некоторых случаях может приводить к выполнению вредоносного кода. Особенность данного исследования заключается в том, что проблема в Tarfile была обнаружена в августе 2007 года, почти ровно 15 лет назад! Но тогда ее не посчитали опасной. Давайте разберемся, почему так вышло и с какими проблемами в результате могут столкнуться разработчики софта на Python и пользователи этих программ.

Tarfile в деталях

Tarfile содержит код для работы с архивами формата tar. Этот формат широко используется в Unix-подобных операционных системах, а его история началась очень давно — в 1979 году. Tar — это простой способ упаковать большое количество файлов и папок. Изначально данная функциональность требовалась для удобной записи резервных копий на магнитную ленту. Теперь же в архивах tar может применяться и сжатие файлов, хотя это не обязательно. Модуль tarfile отвечает за создание и распаковку таких архивов, он используется разработчиками программ на языке Python как готовый инструмент для подобных задач.

Уязвимость в tarfile достаточно простая, она исчерпывающе описана в оригинальном багрепорте за август 2007 года. Это даже не совсем уязвимость: просто tarfile в точности воссоздает структуру папок, содержащуюся в архиве, при его распаковке. В том числе если имя файла в архиве представляет собой что-то вроде «../../../../../etc/passwd». Если распаковать такой архив от имени администратора системы, файл passwd запишется вовсе не в директорию, в которой расположен сам архив. Отрабатывая указатели «..», распаковщик сначала дойдет до корневой директории, а потом перезапишет файл passwd в директории etc. В Linux это будет означать стирание штатного файла с данными всех пользователей системы.

 

View the full article

[Umnik]

Компания Trellix — это клоуны, которые не знают, как и что должно работать. Модуль работает абсолютно корректно. Ответственность проверки путей должен брать на себя автор кода, который этот модуль использует. Об этом прямо сказано в документации: https://docs.python.org/3/library/tarfile.html#tarfile.TarFile.extractall Изначальный баг, который завели, был правильным — в документации ничего не говорилось о path traversal, что подразумевало бы, что модуль берёт проверки на себя. Документацию поправили в 2007-ом году и с тех пор всё работает правильно.

 

Пожалуй подождём ещё 15 лет, когда эти клоуны найдут аналогичную уязвимость в соседнем модуле для работы с zip архивами https://docs.python.org/3/library/zipfile.html#zipfile.ZipFile.extractall Или в реализации работы с zip в языке Go от Google: https://cs.opensource.google/go/go/+/refs/tags/go1.19.1:src/archive/zip/struct.go;l=94. Или вообще где угодно у тех, кто работает правильно.

 

Задача модуля - соответствовать стандартам. Задача конечного кода - учитывать, что стандарты могут быть "проблемой". Нормальные архиваторы просто сообщают, что файл уже есть и не дадут его перезаписать, пока не разрешишь.

 

Впрочем, Трелликс вышел из стен McAffe, а МаКафе тот ещё кусок недоразумения и от них никто не ждёт ничего полезного уже давно.