CVE-2021-32804

Резюме

npm-пакет "tar" (также известный как node-tar) до версий 6.1.1, 5.0.6, 4.4.14 и 3.3.2 имеет уязвимость произвольного создания/перезаписи файлов из-за недостаточной очистки абсолютных путей. node-tar стремится предотвратить извлечение абсолютных путей к файлам, превращая абсолютные пути в относительные, когда флаг `preservePaths` не установлен в `true`. Это достигается удалением корня абсолютного пути из любых абсолютных путей к файлам, содержащихся в tar-файле. Например, `/home/user/.bashrc` превратится в `home/user/.bashrc`. Этой логики было недостаточно, когда пути к файлам содержали повторяющиеся корни пути, такие как `////home/user/.bashrc`. `node-tar` удалял бы только один корень пути из таких путей. При передаче абсолютного пути к файлу с повторяющимися корнями пути, результирующий путь (например, `///home/user/.bashrc`) всё равно разрешался бы в абсолютный путь, что позволяло произвольное создание и перезапись файлов. Эта проблема была устранена в выпусках 3.2.2, 4.4.14, 5.0.6 и 6.1.1. Пользователи могут обойти эту уязвимость без обновления, создав пользовательский метод `onentry`, который очищает `entry.path`, или метод `filter`, который удаляет записи с абсолютными путями. Подробности см. в указанном GitHub Advisory. Обратите внимание на CVE-2021-32803, которая исправляет аналогичную ошибку в более поздних версиях tar.

• CVE-2021-32804PoC

  Docker-based среда воспроизведения для CVE-2021-32804, уязвимости обхода пути в node-tar, затрагивающей npm, с пошаговыми скриптами эксплуатации.