CVE-2024-12718

Çıkarma dizininin dışındaki dosyaların filter="data" ile bazı dosya meta verilerinin (örneğin son değiştirilme tarihi) veya filter="tar" ile dosya izinlerinin (chmod) değiştirilmesine izin verir. TarFile.extractall() veya TarFile.extract() fonksiyonlarını, filter= parametresine "data" veya "tar" değerini vererek güvenilmeyen tar arşivlerini çıkarmak için tarfile modülünü kullanıyorsanız bu güvenlik açığından etkilenirsiniz. Daha fazla bilgi için https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filter adresindeki tarfile çıkarma filtreleri dokümantasyonuna bakınız. Bu güvenlik açıklarından yalnızca Python 3.12 veya daha yeni sürümler etkilenmektedir; önceki sürümler çıkarma filtresi özelliğini içermemektedir. Python 3.14 veya daha yeni sürümlerde filter= parametresinin varsayılan değerinin "filtreleme yok"tan "data"ya değiştiğini, dolayısıyla bu yeni varsayılan davranışa güveniyorsanız kullanımınızın da etkilendiğini unutmayın. Kaynak dağıtımların zaten derleme işlemi sırasında rastgele kod çalıştırılmasına izin vermesi nedeniyle, tar arşivi olan kaynak dağıtımların kurulumunun bu güvenlik açıklarından önemli ölçüde etkilenmediğini unutmayın. Ancak kaynak dağıtımları değerlendirirken şüpheli bağlantılar içeren kaynak dağıtımlarını kurmaktan kaçınmak önemlidir.