CVE-2021-32804

Résumé

Le paquet npm « tar » (alias node-tar) avant les versions 6.1.1, 5.0.6, 4.4.14 et 3.3.2 présente une vulnérabilité de création/écrasement arbitraire de fichiers en raison d'un assainissement insuffisant des chemins absolus. node-tar vise à empêcher l'extraction de chemins de fichiers absolus en transformant les chemins absolus en chemins relatifs lorsque le drapeau `preservePaths` n'est pas défini sur `true`. Cela est réalisé en supprimant la racine du chemin absolu de tout chemin de fichier absolu contenu dans un fichier tar. Par exemple, `/home/user/.bashrc` deviendrait `home/user/.bashrc`. Cette logique s'est avérée insuffisante lorsque les chemins de fichiers contenaient des racines de chemin répétées, comme `////home/user/.bashrc`. `node-tar` ne supprimait qu'une seule racine de chemin de tels chemins. Lorsqu'un chemin de fichier absolu avec des racines de chemin répétées était fourni, le chemin résultant (par exemple `///home/user/.bashrc`) se résolvait toujours en un chemin absolu, permettant ainsi la création et l'écrasement arbitraires de fichiers. Ce problème a été corrigé dans les versions 3.2.2, 4.4.14, 5.0.6 et 6.1.1. Les utilisateurs peuvent contourner cette vulnérabilité sans mettre à niveau en créant une méthode `onentry` personnalisée qui assainit `entry.path` ou une méthode `filter` qui supprime les entrées avec des chemins absolus. Voir l'avis GitHub référencé pour plus de détails. Soyez conscient de la CVE-2021-32803 qui corrige un bug similaire dans les versions ultérieures de tar.

• CVE-2021-32804PoC

  Environnement de reproduction basé sur Docker pour CVE-2021-32804, une vulnérabilité de traversée de chemin dans node-tar affectant npm, avec des scripts d'exploitation pas à pas.