CVE-2026-23950

总结

# node-tar 存在竞态条件漏洞，可导致任意文件覆盖 node-tar（Node.js 的 Tar 库）在 7.5.3 及更早版本中存在竞态条件漏洞。该漏洞源于 `path-reservations` 系统对 Unicode 路径冲突的处理不完整。在不区分大小写或不区分规范化形式的文件系统（例如 macOS APFS，该漏洞已在其上完成测试）上，该库无法锁定冲突路径（例如 `ß` 和 `ss`），从而允许它们被并行处理。这会绕过库内部的并发安全机制，并允许通过竞态条件发起符号链接投毒（Symlink Poisoning）攻击。该库使用 `PathReservations` 系统来确保对同一路径的元数据检查和文件操作被串行化，以防止一个条目并发覆盖另一个条目时产生竞态条件。这是一个可导致任意文件覆盖（Arbitrary File Overwrite）的竞态条件漏洞。 该漏洞影响在 macOS（APFS/HFS+）上使用 node-tar 的用户和系统。由于使用了 `NFD` Unicode 规范化形式（在该形式下 `ß` 和 `ss` 被视为不同），在忽略 Unicode 规范化的文件系统（例如 APFS，其中 `ß` 会与 `ss` 产生 inode 冲突）上，冲突路径的顺序无法被正确保留。这使得攻击者能够利用恶意 tar 归档中的冲突文件名，绕过内部的并行化锁（`PathReservations`）。 7.5.4 版本中的补丁更新了 `path-reservations.js`，改用与目标文件系统行为匹配的规范化形式（例如 `NFKD`），随后依次执行 `toLocaleLowerCase('en')` 和 `toLocaleUpperCase('en')`。作为临时缓解措施，无法及时升级且以编程方式使用 `node-tar` 解压任意 tarball 数据的用户，应过滤掉所有 `SymbolicLink` 条目（正如 npm 所做的那样），以防御通过此文件系统条目名称冲突问题导致的任意文件写入。

• CVE-2026-2395PoC

  概念验证，演示 tar npm 包（v7.5.3）中的竞态条件，该问题会在并行解压期间导致文件冲突，进而造成数据损坏或覆盖。