CVE-2025-4330

सारांश

निष्कर्षण फ़िल्टर को अनदेखा करने की अनुमति देता है, जिससे सिमलिंक लक्ष्य गंतव्य निर्देशिका के बाहर इंगित कर सकते हैं, और कुछ फ़ाइल मेटाडेटा के संशोधन की अनुमति मिलती है। यदि आप अविश्वसनीय tar संग्रहों को निकालने के लिए tarfile मॉड्यूल का उपयोग करते हैं, और TarFile.extractall() या TarFile.extract() का उपयोग filter= पैरामीटर के साथ "data" या "tar" मान रखते हुए करते हैं, तो आप इस भेद्यता से प्रभावित हैं। अधिक जानकारी के लिए tarfile निष्कर्षण फ़िल्टर दस्तावेज़ https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filter देखें। ध्यान दें कि Python 3.14 या उसके बाद के संस्करणों के लिए filter= का डिफ़ॉल्ट मान "no filtering" से बदलकर `"data", कर दिया गया है, इसलिए यदि आप इस नए डिफ़ॉल्ट व्यवहार पर निर्भर हैं तो आपका उपयोग भी प्रभावित है। ध्यान दें कि इनमें से कोई भी भेद्यता स्रोत वितरणों (जो tar संग्रह होते हैं) की स्थापना को महत्वपूर्ण रूप से प्रभावित नहीं करती है, क्योंकि स्रोत वितरण निर्माण प्रक्रिया के दौरान पहले से ही मनमाना कोड निष्पादन (arbitrary code execution) की अनुमति देते हैं। हालाँकि, स्रोत वितरणों का मूल्यांकन करते समय संदिग्ध लिंक वाले स्रोत वितरणों को स्थापित करने से बचना महत्वपूर्ण है।

• CVE-2025-4517-tarfile-PATH_MAX-bypassएक्सप्लॉइट

  Python tarfile डेटा फ़िल्टर बाईपास, os.path.realpath() में PATH_MAX ओवरफ़्लो के माध्यम से - CVE-2025-4517 / CVE-2025-4330