CVE-2021-32804

Zusammenfassung

Das npm-Paket „tar" (auch bekannt als node-tar) vor den Versionen 6.1.1, 5.0.6, 4.4.14 und 3.3.2 weist eine Schwachstelle zur beliebigen Dateierstellung/-überschreibung auf, die auf eine unzureichende Bereinigung absoluter Pfade zurückzuführen ist. node-tar zielt darauf ab, die Extraktion absoluter Dateipfade zu verhindern, indem absolute Pfade in relative Pfade umgewandelt werden, wenn das Flag `preservePaths` nicht auf `true` gesetzt ist. Dies wird erreicht, indem die Wurzel des absoluten Pfads von allen in einer Tar-Datei enthaltenen absoluten Dateipfaden entfernt wird. Beispielsweise würde `/home/user/.bashrc` zu `home/user/.bashrc` werden. Diese Logik war unzureichend, wenn Dateipfade wiederholte Pfadwurzeln wie `////home/user/.bashrc` enthielten. `node-tar` entfernte bei solchen Pfaden nur eine einzelne Pfadwurzel. Bei einem absoluten Dateipfad mit sich wiederholenden Pfadwurzeln würde der resultierende Pfad (z. B. `///home/user/.bashrc`) weiterhin als absoluter Pfad aufgelöst werden, wodurch beliebige Dateierstellung und -überschreibung ermöglicht wird. Dieses Problem wurde in den Releases 3.2.2, 4.4.14, 5.0.6 und 6.1.1 behoben. Benutzer können diese Schwachstelle ohne Upgrade umgehen, indem sie eine benutzerdefinierte `onentry`-Methode erstellen, die `entry.path` bereinigt, oder eine `filter`-Methode, die Einträge mit absoluten Pfaden entfernt. Einzelheiten finden Sie in der referenzierten GitHub-Advisory. Beachten Sie CVE-2021-32803, das einen ähnlichen Fehler in späteren Versionen von tar behebt.

• CVE-2021-32804PoC

  # Docker-basierte Reproduktionsumgebung für CVE-2021-32804, eine Path-Traversal-Schwachstelle in node-tar, die npm betrifft, mit Schritt-für-Schritt-Exploit-Skripten.