📦 CVE-2026-29786: Vulnerabilidad de Symlink en Tar de Node.js

📌 Resumen Ejecutivo

Este repositorio documenta la investigación sobre CVE-2026-29786, una vulnerabilidad de alta severidad descubierta en el popular paquete tar de Node.js. La falla permite a un atacante crear un archivo tar malicioso que, al ser extraído, utiliza symlinks para sobrescribir archivos fuera del directorio de extracción previsto (Path Traversal).

🔍 Análisis Técnico

La vulnerabilidad existe en cómo el motor de extracción de tar valida las rutas de archivo. Al crear un encabezado con un type: 'symlink', un atacante puede apuntar un enlace a una ubicación sensible (por ejemplo, /etc/shadow o archivos de configuración de la aplicación) y posteriormente sobrescribirla durante el proceso de extracción.

Mecanismo del Ataque:

1. Creación del Archivo: Se genera un tarball malicioso que contiene una entrada de symlink.
2. Redirección de Ruta: El symlink apunta a una ruta fuera de la carpeta de destino.
3. Escritura Arbitraria de Archivos: Cuando la víctima extrae el archivo, el motor sigue el enlace y escribe datos en la ruta objetivo del atacante.

---

🏗️ Prueba de Concepto (PoC)

La investigación incluye un script funcional poc.cjs para demostrar la vulnerabilidad en un entorno controlado.

Pasos de Ejecución:

1. Asegúrate de que Node.js esté instalado en tu sistema.
2. Instala la versión vulnerable del paquete tar:

   npm install [email protected]
   Para reproducir la investigación, debes instalar la versión vulnerable específica del paquete:
   node poc.cjs