CVE-2025-62518

概要

astral-tokio-tar は、非同期 Rust 向けの tar アーカイブ読み書きライブラリです。astral-tokio-tar の 0.5.6 より前のバージョンには、PAX/ustar ヘッダー処理の不整合を悪用して、攻撃者が追加のアーカイブエントリを紛れ込ませることを可能にする境界解析の脆弱性が存在します。サイズ上書きを含む PAX 拡張ヘッダーを持つアーカイブを処理する際、パーサーは PAX で指定されたサイズではなく ustar ヘッダーのサイズ（多くの場合ゼロ）に基づいてストリーム位置を誤って進めるため、ファイルの内容を正規の tar ヘッダーとして解釈してしまいます。この問題はバージョン 0.5.6 で修正されています。回避策はありません。

• Tarmageddon-CVE-2025-62518-PoC

  CVE-2025-62518のPoC。tokio-tarのPAXヘッダー解析を介したtarアーカイブの密輸を示し、悪意のあるペイロードと脆弱な抽出ツールを作成してサプライチェーンインジェクションを実証します。

• cve-tarmageddon研究

  CVE-2025-62518のデモンストレーション：tokio-tarおよびasync Rust tarライブラリの重大なPAX拡張ヘッダーサイズ上書きバグ。再現ツールと影響範囲分析を備えています。