CVE-2026-23950

Proof of Concept für CVE-2026-23950 – Race-Condition-Schwachstelle im tar-Paket.

Beschreibung

Dieses Repository demonstriert eine Race-Condition-Schwachstelle im npm-Paket tar (Version 7.5.3), die eine Dateikollision während der Extraktion ermöglicht. Die Schwachstelle nutzt Unterschiede in der Unicode-Normalisierung aus, bei denen collision_ss und collision_ß aufgrund von case-insensitiven Kollisionen als dieselbe Datei behandelt werden können.

Details zur Schwachstelle

• CVE-ID: CVE-2026-23950
• Betroffenes Paket: tar
• Betroffene Version: 7.5.3
• Schwachstellentyp: Race Condition, die zu Dateikollisionen führt
• Auswirkung: Beschädigung/Überschreiben von Dateiinhalten während der parallelen Extraktion

Funktionsweise

Der Exploit erstellt ein tar-Archiv mit zwei Dateien:

1. collision_ss – enthält 1000 'A'-Zeichen
2. collision_ß – enthält 1000 'B'-Zeichen

Bei der Extraktion mit aktivierter paralleler Verarbeitung (jobs: 8) kann die Race Condition dazu führen, dass diese Dateien kollidieren, was Folgendes zur Folge hat:

• Es wird nur eine Datei erstellt
• Beide Dateinamen zeigen möglicherweise auf denselben Inode
• Der Inhalt einer Datei überschreibt den der anderen

Einrichtung

npm install

Verwendung

node index.js

Erwartete Ausgabe

Wenn die Race Condition erfolgreich ausgenutzt wird:

• Dateien teilen sich denselben Inode
• Die Ausgabe zeigt [*] GOOD

Wenn die Schwachstelle nicht ausgelöst wird:

• Es werden zwei separate Dateien erstellt
• Die Ausgabe zeigt [-] No collision

Auswirkungen

Diese Schwachstelle könnte zu Folgendem führen:

• Datenverlust oder -beschädigung
• Sicherheitsumgehungen, wenn die Dateiinhaltsprüfung nach der Extraktion durchgeführt wird
• Unerwartetes Anwendungsverhalten aufgrund fehlender oder beschädigter Dateien

Behebung

Aktualisieren Sie auf eine gepatchte Version des tar-Pakets, sobald diese verfügbar ist.

Haftungsausschluss

Dieser Code dient ausschließlich Bildungs- und Forschungszwecken. Verwenden Sie diesen Exploit nicht für böswillige Zwecke.