CVE-2025-4138 — تجاوز filter="data" في Python tarfile

كتابة ملفات عشوائية خارج دليل الاستخراج عبر سلسلة روابط رمزية تتجاوز PATH_MAX.

النسخ المتأثرة

• Python 3.12.0 – 3.12.10
• Python 3.13.0 – 3.13.3
• تم الإصلاح في 3.12.11 / 3.13.4

الإسناد:

المُبلِّغ: Caleb Brown (Google)

كيف يعمل

يتحقق مرشّح البيانات في tarfile الخاص بـ Python من أهداف الروابط الرمزية باستخدام os.path.realpath(). عندما يتجاوز المسار المُحَلَّل حد PATH_MAX (4096 بايت في لينكس)، تتوقف realpath() بصمت عن الحلّ وتُلحق المكوّنات المتبقية — بما في ذلك ../ — كنصوص حرفية. يرى المرشّح مسارًا آمنًا؛ بينما تتبع النواة المسار الفعلي الحقيقي.

يبني الاستغلال ملف tar من أربع مراحل:

1. سلسلة الروابط الرمزية — 16 مستوى من الأدلة الطويلة (247 حرفًا لكل مستوى) مع أسماء مستعارة قصيرة للروابط الرمزية (a→ddd..., b→ddd...). يضخّم المسار المُحَلَّل إلى ~3968 بايت.
2. الرابط الرمزي المحوري — ../ × 16 في نهاية السلسلة. يفيض realpath() ويعجز عن حلّه. تعود النواة إلى جذر الاستخراج.
3. الرابط الرمزي للهروب — يمرّ عبر المحور، صعودًا إلى /، ونزولًا إلى الدليل الهدف.
4. ملف الحمولة — يُكتب عبر رابط الهروب إلى المسار الهدف بصلاحيات الجذر.

الاستخدام

لإضافة/استبدال authorized_keys لمستخدم الجذر

إنشاء مفتاح SSH في /tmp

ssh-keygen -t ed25519 -f /tmp/key -N ""

إنشاء ملف evil.tar

python3 CVE-2025-4138_tarfile_filter_bypass.py \
    -o evil.tar \
    -t /root/.ssh/authorized_keys \
    -p /tmp/key.pub \
    -m 0600

المراجع

• NVD — CVE-2025-4138
• GHSA-hgqp-3mmf-7h8f

للاستخدام في الاختبارات الأمنية المرخَّصة وفعاليات CTF فقط.