CVE-2025-4330

概要

抽出フィルタを無視することを可能にし、シンボリックリンクのターゲットを宛先ディレクトリの外に向けることを可能にし、一部のファイルメタデータの変更を可能にします。tarfile モジュールを使用して信頼できない tar アーカイブを TarFile.extractall() または TarFile.extract() で抽出し、filter= パラメータに "data" または "tar" の値を指定している場合、この脆弱性の影響を受けます。詳細については、tarfile 抽出フィルタのドキュメント https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filter を参照してください。Python 3.14 以降では、filter= のデフォルト値が「フィルタなし」から `"data" に変更されたため、この新しいデフォルトの動作に依存している場合も影響を受けることに注意してください。また、これらの脆弱性はいずれも、tar アーカイブであるソースディストリビューションのインストールには大きな影響を与えません。ソースディストリビューションはビルドプロセス中に任意のコード実行をすでに許可しているためです。ただし、ソースディストリビューションを評価する際には、不審なリンクを含むソースディストリビューションのインストールを避けることが重要です。

ソース

• CVE-2025-4517-tarfile-PATH_MAX-bypassエクスプロイト

  os.path.realpath()内のPATH_MAXオーバーフローによるPython tarfileデータフィルターのバイパス - CVE-2025-4517 / CVE-2025-4330