CVE-2025-4517 PoC – Python tarfile: произвольная запись файла через обход пути

CVE-2025-4517 (CVSS 9.4 – Критический)
Уязвимость в модуле tarfile Python, позволяющая осуществлять произвольную запись файлов за пределами каталога распаковки при использовании TarFile.extractall() или TarFile.extract() с параметром filter="data" или filter="tar".

Затронутые версии:

• Python 3.12+ при явном использовании filter="data" или filter="tar"
• Python 3.14+ (при использовании нового фильтра filter="data" по умолчанию)

Исправлено в:

• Python 3.12.11, 3.13.4, 3.11.13+ (патчи выпущены в середине 2025 года)

Этот PoC создаёт вредоносный .tar-архив, который при распаковке на уязвимой системе пытается перезаписать /etc/sudoers (добавляя запись sudo без пароля для пользователя wacky).

ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ
Этот код предоставляется строго в образовательных целях, для авторизованных исследований безопасности, задач CTF и упражнений red-team.
Не используйте это против любой системы без явного письменного разрешения.
Неправильное использование может нарушать законы о компьютерном мошенничестве и злоупотреблениях в вашей юрисдикции.

Как это работает (на высоком уровне)

1. Создаются глубоко вложенные каталоги с очень длинными именами + символические ссылки с тем же именем (вызывающие путаницу/циклы путей).
2. Строится длинная цепочка символических ссылок, которая с помощью ../ поднимается на множество уровней каталогов.
3. Указывается «ссылка-побег» → обход → /etc.
4. Используется жёсткая ссылка (LNKTYPE) для создания псевдонима файла внутри tar к пути побега (/etc/sudoers).
5. Содержимое полезной нагрузки записывается в имя жёсткой ссылки → при распаковке происходит перезапись целевого файла.

Требования

• Python 3.x (любая современная версия) для генерации эксплойта
• Уязвимый распаковщик на цели:
  • GNU tar ≤ 1.34
  • bsdtar/libarchive в режиме совместимости
  • Python tarfile с уязвимыми настройками фильтра
  • Скрипты резервного копирования/восстановления без ограничений по путям

Создание вредоносного tar

# 1. Сохраните PoC как generate_exploit.py
# 2. Запустите:
python3 generate_exploit.py