CVE-2026-23950

Riepilogo

# node-tar, un Tar per Node.js, presenta una vulnerabilità di race condition nelle versioni fino alla 7.5.3 inclusa. Ciò è dovuto a una gestione incompleta delle collisioni di percorsi Unicode nel sistema `path-reservations`. Su filesystem che non fanno distinzione tra maiuscole e minuscole o che ignorano la normalizzazione (come macOS APFS, sul quale è stato testato), la libreria non riesce a bloccare i percorsi in collisione (ad es., `ß` e `ss`), consentendone l'elaborazione in parallelo. Questo bypassa le salvaguardie interne di concorrenza della libreria e permette attacchi di Symlink Poisoning tramite race condition. La libreria utilizza un sistema `PathReservations` per garantire che i controlli dei metadati e le operazioni sui file per lo stesso percorso siano serializzati. Ciò previene race condition in cui una voce potrebbe sovrascriverne un'altra contemporaneamente. Si tratta di una Race Condition che abilita l'Arbitrary File Overwrite. Questa vulnerabilità colpisce gli utenti e i sistemi che utilizzano node-tar su macOS (APFS/HFS+). A causa dell'uso della normalizzazione Unicode `NFD` (in cui `ß` e `ss` sono diversi), i percorsi in conflitto non mantengono correttamente il loro ordine su filesystem che ignorano la normalizzazione Unicode (ad es., APFS, in cui `ß` causa una collisione di inode con `ss`). Ciò consente a un attaccante di aggirare i blocchi di parallelizzazione interni (`PathReservations`) utilizzando nomi di file in conflitto all'interno di un archivio tar dannoso. La patch nella versione 7.5.4 aggiorna `path-reservations.js` per utilizzare una forma di normalizzazione che corrisponde al comportamento del filesystem di destinazione (ad es., `NFKD`), seguita prima da `toLocaleLowerCase('en')` e poi da `toLocaleUpperCase('en')`. Come workaround, gli utenti che non possono aggiornare tempestivamente e che utilizzano programmaticamente `node-tar` per estrarre dati tarball arbitrari dovrebbero filtrare tutte le voci `SymbolicLink` (come fa npm) per difendersi da scritture arbitrarie di file tramite questo problema di collisione dei nomi delle voci del filesystem.

• CVE-2026-2395