CVE-2026-23950

Резюме

# node-tar, Tar для Node.js, имеет уязвимость состояния гонки в версиях до 7.5.3 включительно Это связано с неполной обработкой коллизий путей в системе `path-reservations`. На файловых системах, нечувствительных к регистру или нормализации (таких как macOS APFS, на которой проводилось тестирование), библиотека не блокирует конфликтующие пути (например, `ß` и `ss`), что позволяет обрабатывать их параллельно. Это обходит внутренние механизмы защиты от параллелизма библиотеки и допускает атаки типа Symlink Poisoning через состояния гонки. Библиотека использует систему `PathReservations` для обеспечения сериализации проверок метаданных и файловых операций для одного и того же пути. Это предотвращает состояния гонки, при которых одна запись может перезаписать другую одновременно. Это состояние гонки, которое позволяет произвольную перезапись файлов. Уязвимость затрагивает пользователей и системы, использующие node-tar на macOS (APFS/HFS+). Из-за использования Unicode-нормализации `NFD` (в которой `ß` и `ss` различаются), конфликтующие пути не сохраняют свой порядок должным образом на файловых системах, игнорирующих Unicode-нормализацию (например, APFS, где `ß` вызывает коллизию inode с `ss`). Это позволяет злоумышленнику обойти внутренние блокировки параллелизации (`PathReservations`) с помощью конфликтующих имён файлов внутри вредоносного tar-архива. Патч в версии 7.5.4 обновляет `path-reservations.js` для использования формы нормализации, соответствующей поведению целевой файловой системы (например, `NFKD`), с последующим применением сначала `toLocaleLowerCase('en')`, а затем `toLocaleUpperCase('en')`. В качестве обходного решения пользователи, которые не могут оперативно обновиться и программно используют `node-tar` для извлечения произвольных tar-данных, должны отфильтровывать все записи `SymbolicLink` (как это делает npm), чтобы защититься от произвольной записи файлов через эту проблему коллизии имён записей файловой системы.

• CVE-2026-2395PoC