📦 CVE-2026-29786: Уязвимость симлинков в Node.js Tar

📌 Краткое описание

Этот репозиторий документирует исследование CVE-2026-29786 — уязвимости высокой степени серьёзности, обнаруженной в популярном пакете tar для Node.js. Дефект позволяет злоумышленнику создать вредоносный tar-архив, который при распаковке использует симлинки для перезаписи файлов за пределами целевой директории распаковки (Path Traversal).

🔍 Технический анализ

Уязвимость существует в том, как механизм распаковки tar проверяет пути к файлам. Создав заголовок с type: 'symlink', злоумышленник может указать ссылку на чувствительное расположение (например, /etc/shadow или файлы конфигурации приложения) и впоследствии перезаписать его в процессе распаковки.

Механизм атаки:

1. Создание архива: Генерируется вредоносный tarball, содержащий запись-симлинк.
2. Перенаправление пути: Симлинк указывает на путь за пределами целевой папки.
3. Произвольная запись файла: Когда жертва распаковывает архив, механизм следует по ссылке и записывает данные по целевому пути злоумышленника.

---

🏗️ Доказательство концепции (PoC)

Исследование включает функциональный скрипт poc.cjs для демонстрации уязвимости в контролируемой среде.

Шаги выполнения:

1. Убедитесь, что Node.js установлен в вашей системе.
2. Установите уязвимую версию пакета tar:

   npm install [email protected]
   Чтобы воспроизвести исследование, необходимо установить конкретную уязвимую версию пакета:
   node poc.cjs