CVE-2026-23950

Node.js üçün Tar kitabxanası olan node-tar-ın 7.5.3 daxil olmaqla daha aşağı versiyalarında yarış şəraiti (race condition) zəifliyi mövcuddur. Bu, `path-reservations` sistemində Unicode yollarının toqquşmalarının natamam idarə edilməsi ilə bağlıdır. Böyük-kiçik hərflərə və ya normallaşdırmaya həssas olmayan fayl sistemlərində (məsələn, test edildiyi macOS APFS), kitabxana toqquşan yolları (məsələn, `ß` və `ss`) kilidləyə bilmir və onların paralel şəkildə işlənilməsinə yol verir. Bu, kitabxananın daxili konkurentlik təhlükəsizlik tədbirlərini yan keçir və yarış şəraitləri vasitəsilə Symlink Poisoning hücumlarına imkan yaradır. Kitabxana eyni yol üçün metadata yoxlamalarının və fayl əməliyyatlarının ardıcıl yerinə yetirilməsini təmin etmək üçün `PathReservations` sistemindən istifadə edir. Bu, bir girişin digərini eyni vaxtda sıxışdırdığı yarış şəraitlərinin qarşısını alır. Bu, ixtiyari faylların üzərinə yazmağa (Arbitrary File Overwrite) imkan verən Yarış Şəraiti zəifliyidir. Bu zəiflik macOS (APFS/HFS+) üzərində node-tar istifadə edən istifadəçilərə və sistemlərə təsir edir. `NFD` Unicode normallaşdırmasının istifadəsi səbəbindən (`ß` və `ss` fərqli olduğu üçün), Unicode normallaşdırmasını nəzərə almayan fayl sistemlərində (məsələn, `ß`-nin `ss` ilə inode toqquşmasına səbəb olduğu APFS) ziddiyyətli yolların ardıcıllığı düzgün qorunmur. Bu, hücumçuya zərərli tar arxivində ziddiyyətli fayl adlarından istifadə edərək daxili paralelləşdirmə kilidlərini (`PathReservations`) yan keçməyə imkan verir. Versiya 7.5.4-dəki yamama `path-reservations.js` faylını hədəf fayl sisteminin davranışına uyğun normallaşdırma formasından (məsələn, `NFKD`), ardından birinci `toLocaleLowerCase('en')` və sonra `toLocaleUpperCase('en')` funksiyalarından istifadə etmək üçün yeniləyir. Müvəqqəti həll yolu kimi, dərhal yenilənmə imkanı olmayan və ixtiyari tarball məlumatlarını çıxarmaq üçün proqram təminatı səviyyəsində `node-tar` istifadə edən istifadəçilər, bu fayl sistemi giriş adı toqquşması problemi vasitəsilə ixtiyari faylların yazılmasından qorunmaq üçün bütün `SymbolicLink` girişlərini süzgəcdən keçirməlidirlər (npm-in etdiyi kimi).