CVE-2025-4138

概要

Allows the extraction filter to be ignored, allowing symlink targets to point outside the destination directory, and the modification of some file metadata. You are affected by this vulnerability if using the tarfile module to extract untrusted tar archives using TarFile.extractall() or TarFile.extract() using the filter= parameter with a value of "data" or "tar". See the tarfile extraction filters documentation https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filter for more information. Note that for Python 3.14 or later the default value of filter= changed from "no filtering" to `"data", so if you are relying on this new default behavior then your usage is also affected. Note that none of these vulnerabilities significantly affect the installation of source distributions which are tar archives as source distributions already allow arbitrary code execution during the build process. However when evaluating source distributions it's important to avoid installing source distributions with suspicious links. 抽出フィルタを無視できるようになり、シンボリックリンクのターゲットを宛先ディレクトリの外側に向けることが可能になり、一部のファイルメタデータの変更も可能になります。この脆弱性の影響を受けるのは、tarfile モジュールを使用して、filter= パラメータに "data" または "tar" を指定した TarFile.extractall() または TarFile.extract() を用いて信頼できない tar アーカイブを展開している場合です。詳細については、tarfile 抽出フィルタのドキュメント https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filter を参照してください。Python 3.14 以降では filter= のデフォルト値が "no filtering" から `"data"` に変更されたため、この新しいデフォルト動作に依存している場合も影響を受けます。これらの脆弱性はいずれも、tar アーカイブであるソース配布物のインストールには大きな影響を与えません。ソース配布物はビルドプロセス中にすでに任意のコード実行を許可しているためです。ただし、ソース配布物を評価する際には、不審なリンクを含むソース配布物のインストールを避けることが重要です。

• CVE-2025-4138-POCPoC

  CVE-2025-4138のPython PoC、Pythonのtarfileモジュールにおけるパストラバーサル。シンボリックリンクチェーンを悪用してPATH_MAXをバイパスし、任意ファイル書き込みを可能にする。