CVE-2021-32804

概要

npmパッケージ「tar」（別名node-tar）のバージョン6.1.1、5.0.6、4.4.14、3.3.2より前のバージョンには、絶対パスのサニタイズ処理が不十分なため、任意のファイル作成・上書きの脆弱性があります。node-tarは、`preservePaths`フラグが`true`に設定されていない場合に、絶対パスを相対パスに変換することで、tarファイルからの絶対パスの抽出を防ぐことを目的としています。これは、tarファイルに含まれる絶対ファイルパスから絶対パスのルート部分を取り除くことで実現されます。例えば、`/home/user/.bashrc`は`home/user/.bashrc`に変換されます。このロジックは、ファイルパスに`////home/user/.bashrc`のような繰り返しのパスルートが含まれる場合に不十分でした。`node-tar`は、そのようなパスから単一のパスルートのみを取り除いていました。繰り返しのパスルートを持つ絶対ファイルパスが与えられた場合、結果のパス（例：`///home/user/.bashrc`）は依然として絶対パスとして解決されるため、任意のファイル作成および上書きが可能になりました。この問題は、リリース3.2.2、4.4.14、5.0.6、6.1.1で対処されました。ユーザーはアップグレードせずに、`entry.path`をサニタイズするカスタム`onentry`メソッド、または絶対パスを持つエントリを削除する`filter`メソッドを作成することで、この脆弱性を回避できます。詳細については、参照されているGitHub Advisoryを参照してください。後期バージョンのtarで同様のバグを修正するCVE-2021-32803に注意してください。

• CVE-2021-32804PoC

  CVE-2021-32804（npmに影響するnode-tarのパストラバーサル脆弱性）のためのDockerベースの再現環境と、ステップバイステップの悪用スクリプト。