CVE-2025-62518

요약

astral-tokio-tar는 async Rust용 tar 아카이브 읽기/쓰기 라이브러리입니다. 0.5.6 이전 버전의 astral-tokio-tar에는 일관되지 않은 PAX/ustar 헤더 처리를 악용하여 공격자가 추가 아카이브 항목을 몰래 삽입할 수 있게 하는 경계 구문 분석 취약점이 존재합니다. 크기 재정의(size override)를 포함하는 PAX 확장 헤더가 있는 아카이브를 처리할 때, 파서는 PAX에 지정된 크기 대신 ustar 헤더 크기(종종 0)를 기준으로 스트림 위치를 잘못 전진시켜 파일 콘텐츠를 정상적인 tar 헤더로 해석하게 됩니다. 이 문제는 버전 0.5.6에서 패치되었습니다. 해결 방법(workaround)은 없습니다.

• Tarmageddon-CVE-2025-62518-PoC

  CVE-2025-62518에 대한 PoC로, tokio-tar PAX 헤더 구문 분석을 통한 tar 아카이브 스머글링을 시연하며, 악성 페이로드와 취약한 추출기를 생성하여 공급망 주입을 보여줍니다.

• cve-tarmageddon연구

  CVE-2025-62518 데모: tokio-tar 및 async Rust tar 라이브러리의 치명적인 PAX 확장 헤더 크기 재정의 버그, 재현 도구 및 폭발 반경 분석 포함.