Перейти к содержанию

Уязвимость в модуле tarfile | Блог Касперского


Рекомендуемые сообщения

В сентябре 2022 года компания Trellix опубликовала отчет об уязвимости в модуле tarfile. Это стандартная библиотека языка программирования Python, воспользоваться которой может любой желающий. Уязвимость позволяет записать в произвольную папку на жестком диске произвольный файл, а в некоторых случаях может приводить к выполнению вредоносного кода. Особенность данного исследования заключается в том, что проблема в Tarfile была обнаружена в августе 2007 года, почти ровно 15 лет назад! Но тогда ее не посчитали опасной. Давайте разберемся, почему так вышло и с какими проблемами в результате могут столкнуться разработчики софта на Python и пользователи этих программ.

Tarfile в деталях

Tarfile содержит код для работы с архивами формата tar. Этот формат широко используется в Unix-подобных операционных системах, а его история началась очень давно — в 1979 году. Tar — это простой способ упаковать большое количество файлов и папок. Изначально данная функциональность требовалась для удобной записи резервных копий на магнитную ленту. Теперь же в архивах tar может применяться и сжатие файлов, хотя это не обязательно. Модуль tarfile отвечает за создание и распаковку таких архивов, он используется разработчиками программ на языке Python как готовый инструмент для подобных задач.

Уязвимость в tarfile достаточно простая, она исчерпывающе описана в оригинальном багрепорте за август 2007 года. Это даже не совсем уязвимость: просто tarfile в точности воссоздает структуру папок, содержащуюся в архиве, при его распаковке. В том числе если имя файла в архиве представляет собой что-то вроде «../../../../../etc/passwd». Если распаковать такой архив от имени администратора системы, файл passwd запишется вовсе не в директорию, в которой расположен сам архив. Отрабатывая указатели «..», распаковщик сначала дойдет до корневой директории, а потом перезапишет файл passwd в директории etc. В Linux это будет означать стирание штатного файла с данными всех пользователей системы.

 

View the full article

Ссылка на сообщение
Поделиться на другие сайты

Компания Trellix — это клоуны, которые не знают, как и что должно работать. Модуль работает абсолютно корректно. Ответственность проверки путей должен брать на себя автор кода, который этот модуль использует. Об этом прямо сказано в документации: https://docs.python.org/3/library/tarfile.html#tarfile.TarFile.extractall Изначальный баг, который завели, был правильным — в документации ничего не говорилось о path traversal, что подразумевало бы, что модуль берёт проверки на себя. Документацию поправили в 2007-ом году и с тех пор всё работает правильно.

 

Пожалуй подождём ещё 15 лет, когда эти клоуны найдут аналогичную уязвимость в соседнем модуле для работы с zip архивами https://docs.python.org/3/library/zipfile.html#zipfile.ZipFile.extractall Или в реализации работы с zip в языке Go от Google: https://cs.opensource.google/go/go/+/refs/tags/go1.19.1:src/archive/zip/struct.go;l=94. Или вообще где угодно у тех, кто работает правильно.

 

Задача модуля - соответствовать стандартам. Задача конечного кода - учитывать, что стандарты могут быть "проблемой". Нормальные архиваторы просто сообщают, что файл уже есть и не дадут его перезаписать, пока не разрешишь.

 

Впрочем, Трелликс вышел из стен McAffe, а МаКафе тот ещё кусок недоразумения и от них никто не ждёт ничего полезного уже давно.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • KL FC Bot
      От KL FC Bot
      В ноябре 2022 года американское Агентство национальной безопасности выпустило бюллетень, посвященный безопасности при работе с оперативной памятью. Если посмотреть другие бюллетени АНБ по нашей теме, будет заметно, что они посвящены в основном либо шифрованию данных, либо защите производственных циклов и другим организационным вопросам. Обращаться напрямую к разработчикам программного обеспечения — достаточно необычный шаг для агентства. И если уж он был сделан, то явно речь идет о чем-то особенно важном. Если совсем коротко: АНБ призывает разработчиков ПО переключаться на использование языков программирования, архитектура которых подразумевает повышенную безопасность при работе с памятью, — то есть, по сути, перестать использовать языки С и С++. В иных случаях рекомендуется внедрять комплекс мер по тестированию ПО на уязвимости и предотвращению их эксплуатации.
      Для программистов это достаточно очевидные вещи, и призыв АНБ скорее адресован не им напрямую, а их руководству — представителям бизнеса. Поэтому бюллетень составлен в понятных для бизнеса выражениях. Давайте попробуем проанализировать изложенные в нем аргументы, не залезая в технические дебри.
      Безопасность памяти
      Откроем наш свежий отчет об эволюции угроз за третий квартал 2022 года и посмотрим на уязвимости, наиболее часто используемые в кибератаках. В топе до сих пор уязвимость CVE-2018-0802 в компоненте Equation Editor офисного пакета Microsoft Office, обнаруженная еще в 2018 году. Она вызвана некорректной обработкой данных в оперативной памяти, в результате чего открытие «подготовленного» документа Microsoft Word может привести к запуску произвольного кода. Еще одна популярная у преступников уязвимость — CVE-2022-2294 в компоненте WebRTC браузера Google Chrome: она приводит к выполнению произвольного кода в результате ошибки переполнения памяти. Еще одна проблема, CVE-2022-2624, содержащаяся в инструменте для просмотра PDF в Chrome, также может привести к переполнению памяти.
      Разумеется, не все уязвимости в ПО вызваны небезопасной работой с оперативной памятью, но очень и очень многие. Бюллетень АНБ ссылается на статистику Microsoft, согласно которой ошибки при работе с памятью — причина 70% обнаруживаемых уязвимостей.
      По статистике Microsoft, две трети уязвимостей вызваны ошибками при работе с памятью. Источник
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Чешская компания Avast производит решения для защиты от вирусов и прочих угроз, которые считаются весьма эффективными, но насколько безопасно и надежно это ПО? В посте мы рассказываем, почему некоторые пользователи относятся к Avast с подозрением и можно ли по-прежнему доверять продуктам этого разработчика.
      Безопасны ли продукты Avast?
      Решения Avast пользуются популярностью у миллионов пользователей по всему миру. Независимые эксперты регулярно высоко оценивают их эффективность: например, в тесте SE Labs за второй квартал 2022 года ПО Avast заметило 98% угроз и лишь немного уступило решениям «Лаборатории Касперского» и McAfee, взявшим первое место со стопроцентными результатами. Однако за годы своей работы компания Avast, к сожалению, несколько раз попадала в неприятные истории, которые заставляют многих пользователей и специалистов сомневаться в безопасности использования ее продуктов.
      Проблемы с безопасностью Avast
      Avast не раз подводил своих пользователей. В 2017 году более двух миллионов человек загрузили зараженную вредоносным ПО версию CCleaner — одного из решений компании.
      Еще более неудачным для Avast был 2019 год. Тогда сама компания сообщила, что ее внутреннюю сеть скомпрометировали злоумышленники. Вероятно, их целью был доступ ко все тому же CCleaner. На этом проблемы компании в 2019 году не закончились. Немногим позднее независимые эксперты обратили внимание общественности на то, что браузерные расширения Avast без ведома пользователей собирают о них данные, объем которых значительно превышает необходимый для защиты.
      И уже в начале 2020 года в СМИ появились сообщения, что Avast передает данные пользователей своей дочерней компании Jumpshot, а она в свою очередь продает их крупным корпорациям.
      Для эффективной работы антивирусному ПО нужен полный доступ к устройству и его операционной системе — без этого оно не сможет находить и обезвреживать вирусы и другие угрозы — и постоянная связь с серверами, чтобы поддерживать базы данных в актуальном состоянии. Поэтому при выборе антивируса важно обращать внимание на его репутацию.
      После установки продукты Avast получают доступ к огромному количеству пользовательских данных. И хотя на сегодняшний день никаких доказательств недобросовестности Avast или небезопасности его решений нет, в прошлом компания не раз попадала в ситуации, которые заставляют задаваться вопросом, заслуживают ли ее продукты такого доверия.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Наши эксперты зафиксировали атаку нового троянца, которого они окрестили CryWiper. Внешне активность этого зловреда имеет все признаки заражения шифровальщиком-вымогателем: он изменяет файлы, добавляет к ним дополнительное расширение .CRY и сохраняет файл README.txt с требованием выкупа, в котором содержится адрес биткойн-кошелька, почта для связи с авторами и идентификатор заражения. Однако по факту он относится к классу вайперов — поврежденные им данные не подлежат восстановлению. Так что если вы видите записку от вымогателей, а важные файлы в системе не читаются и имеют новое расширение .CRY, то платить выкуп как минимум бессмысленно.
      В прошлом мы встречали поделки злоумышленников, которые становились вайперами случайно — вследствие ошибки программистов, криво реализовавших процесс шифрования файлов. Однако это не тот случай: наши эксперты уверены, что в этот раз основная цель злоумышленников не в получении финансовой выгоды, а именно в уничтожении данных. Данные не шифруются, вместо этого троянец перезаписывает их информацией, получаемой при помощи генератора псевдослучайных чисел.
      За какими данными охотится CryWiper
      По большому счету, троянец портит любые данные, отсутствие которых не сказывается на работе операционной системы. Он игнорирует файлы с расширениями .exe, .dll. .lnk, .sys, .msi, а также принципиально не трогает ряд папок в директории C:\Windows. Фокусируется зловред на базах данных, архивах, и пользовательских документах.
      На данный момент наши эксперты видели исключительно точечные атаки на цели в Российской Федерации. Однако, как обычно, никто не может гарантировать, что тот же код не может быть применен и против иных целей.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Я давно и часто говорю: антивирус мертв.
      На первый взгляд странная фраза, в особенности от человека, который стоял практически у истоков этого самого антивируса в бородатых 90-х. Но если внимательно пожевать тему, да с авторитетными источниками, то утверждение приобретает логичность: во-первых, антивирусы превратились в защитные решения «против всего», а во-вторых, вирусов, как разновидности вредоносных программ, не осталось. Но есть нюанс: почти не осталось.
      И где же сейчас обитают это заповедные твари краснокнижного зловредства?
      А вот прям здесь, под боком. В одной из самых консервативных областей автоматизации — операционных технологиях (ОТ, не путать с IT — информационными технологиями). Не буду впадать в занудство чрезмерно глубокого раскрытия существа темы — уточню проще: ОТ — это системы управления на фабриках-заводах, электростанциях, транспорте, в добыче-обработке и подобных «тяжелых» секторах-отраслях. Да, вы правильно поняли — компьютерные вирусы довольно часто встречаются в критической инфраструктуре! Около 3% инцидентов вызваны именно этим видом зловредства.
      Почему так получается?
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      С 20 ноября по 18 декабря в Катаре проходит финал 22-го чемпионата мира по футболу ФИФА. Разумеется, кибермошенники не могли обойти стороной столь популярное мероприятие. Чемпионат мира в России 2018 года посмотрело 3,6 миллиарда человек, или более половины населения Земли старше четырех лет, и вряд ли популярность катарского чемпионата мира окажется сильно ниже. Мы проанализировали основные киберугрозы, с которыми сталкиваются любители спорта на крупных спортивных мероприятиях последних лет, и предлагаем задуматься о защите от подобных проблем и во время нынешнего мундиаля.
      Мошеннические сайты и приложения
      Накануне всех крупных спортивных мероприятий прошлых лет наши эксперты наблюдали активную регистрацию доменов, использовавших названия соответствующих чемпионатов и олимпиад. Большинство таких сайтов применялись для различных видов мошенничества: пользователям предлагали, например, фальшивые билеты или бесплатные трансляции.
      Фишинговая страница, предлагающая возможность выиграть два билета на мундиаль
      Не стал исключением и нынешний мундиаль. К его началу эксперты обнаружили множество мошеннических страниц в соцсетях и более 170 доменов, выдающих себя за официальные онлайн-ресурсы чемпионата мира по футболу.
       
      View the full article
×
×
  • Создать...