CVE-2021-32804

Resumo

O pacote npm "tar" (também conhecido como node-tar) antes das versões 6.1.1, 5.0.6, 4.4.14 e 3.3.2 possui uma vulnerabilidade de Criação/Sobrescrita Arbitrária de Arquivos devido à sanitização insuficiente de caminhos absolutos. O node-tar visa impedir a extração de caminhos de arquivo absolutos convertendo caminhos absolutos em caminhos relativos quando o sinalizador `preservePaths` não está definido como `true`. Isso é alcançado removendo a raiz do caminho absoluto de qualquer caminho de arquivo absoluto contido em um arquivo tar. Por exemplo, `/home/user/.bashrc` se tornaria `home/user/.bashrc`. Essa lógica era insuficiente quando os caminhos de arquivo continham raízes de caminho repetidas, como `////home/user/.bashrc`. O `node-tar` removia apenas uma única raiz de caminho de tais caminhos. Ao receber um caminho de arquivo absoluto com raízes de caminho repetidas, o caminho resultante (por exemplo, `///home/user/.bashrc`) ainda seria resolvido como um caminho absoluto, permitindo assim a criação e sobrescrita arbitrária de arquivos. Esse problema foi corrigido nas versões 3.2.2, 4.4.14, 5.0.6 e 6.1.1. Os usuários podem contornar essa vulnerabilidade sem atualizar criando um método `onentry` personalizado que sanitiza o `entry.path` ou um método `filter` que remove entradas com caminhos absolutos. Consulte o GitHub Advisory referenciado para obter detalhes. Esteja ciente do CVE-2021-32803, que corrige um bug semelhante em versões posteriores do tar.

• CVE-2021-32804PoC

  Ambiente de reprodução baseado em Docker para CVE-2021-32804, uma vulnerabilidade de path traversal no node-tar que afeta o npm, com scripts de exploração passo a passo.