CVE-2025-4517 PoC – Écriture arbitraire de fichiers via traversée de chemin dans le module tarfile de Python

CVE-2025-4517 (CVSS 9.4 – Critique)
Une vulnérabilité dans le module tarfile de Python qui permet l'écriture arbitraire de fichiers en dehors du répertoire d'extraction lors de l'utilisation de TarFile.extractall() ou TarFile.extract() avec filter="data" ou filter="tar".

Versions affectées :

• Python 3.12+ lorsqu'on utilise explicitement filter="data" ou filter="tar"
• Python 3.14+ (lorsqu'on utilise le nouveau filtre par défaut filter="data")

Corrigé dans :

• Python 3.12.11, 3.13.4, 3.11.13+ (correctifs publiés mi-2025)

Ce PoC crée une archive .tar malveillante qui tente de remplacer /etc/sudoers (en ajoutant une entrée sudo sans mot de passe pour l'utilisateur wacky) lors de l'extraction sur un système vulnérable.

AVERTISSEMENT
Ce code est fourni strictement à des fins éducatives, pour la recherche en sécurité autorisée, les défis CTF et les exercices d'équipe rouge.
N'utilisez PAS ce code contre un système sans autorisation écrite explicite.
Une utilisation abusive peut enfreindre les lois sur la fraude informatique et les abus dans votre juridiction.

Comment cela fonctionne (Haut niveau)

1. Crée des répertoires profondément imbriqués avec des noms très longs + des liens symboliques de même nom (provoquant confusion de chemin/boucles).
2. Construit une longue chaîne de liens symboliques qui s'échappe de plusieurs niveaux de répertoires vers le haut en utilisant ../.
3. Pointe un lien symbolique « d'évasion » → traversée → /etc.
4. Utilise un lien physique (LNKTYPE) pour créer un alias d'un fichier dans l'archive vers le chemin d'évasion (/etc/sudoers).
5. Écrit le contenu de la charge utile dans le nom lié physiquement → écrase le fichier cible lors de l'extraction.

Prérequis

• Python 3.x (toute version moderne) pour générer l'exploit
• Extracteur vulnérable sur la cible :
  • GNU tar ≤ 1.34
  • bsdtar/libarchive en mode compatibilité
  • Python tarfile avec des paramètres de filtre vulnérables
  • Scripts de sauvegarde/restauration sans restrictions de chemin

Générer l'archive Tar malveillante

# 1. Save the PoC as generate_exploit.py
# 2. Run:
python3 generate_exploit.py