CVE-2026-23745: node-tar 임의 파일 덮어쓰기

연구: Joshua van Rijswijk

설명

CVE-2026-23745에 대한 PoC로, node-tar(<7.5.2)의 높은 심각도 경로 탐색 취약점입니다.

이 라이브러리는 하드링크 및 심볼릭 링크의 linkpath 필드에 있는 절대 경로를 검증하지 못합니다. 이로 인해 악성 tar 아카이브가 추출 루트를 우회하고, preservePaths: false가 설정된 경우에도 호스트 시스템의 임의 파일을 덮어쓸 수 있습니다.

취약점

src/unpack.ts에 위치합니다. 이 라이브러리는 검증되지 않은 사용자 입력에 path.resolve()를 사용합니다:

// 버그: 두 번째 인수가 절대 경로인 경우 path.resolve는 'cwd'를 무시합니다
const target = path.resolve(this.cwd, String(entry.linkpath))