CVE-2025-4138
Açıklama
Çıkarma filtresinin yok sayılmasına, sembolik bağlantı hedeflerinin hedef dizinin dışını göstermesine ve bazı dosya meta verilerinin değiştirilmesine olanak tanır. TarFile.extractall() veya TarFile.extract() kullanarak güvenilmeyen tar arşivlerini çıkarmak için tarfile modülünü filter= parametresiyle "data" veya "tar" değeriyle kullanıyorsanız bu güvenlik açığından etkilenirsiniz. Daha fazla bilgi için tarfile çıkarma filtreleri belgelerine bakın: https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filter Python 3.14 veya sonraki sürümlerde filter= parametresinin varsayılan değerinin "no filtering" yerine `"data"` olarak değiştiğini unutmayın; bu nedenle bu yeni varsayılan davranışa güveniyorsanız kullanımınız da etkilenir. Bu güvenlik açıklarının hiçbirinin, tar arşivleri olan kaynak dağıtımlarının kurulumunu önemli ölçüde etkilemediğini unutmayın; çünkü kaynak dağıtımları derleme süreci sırasında zaten rastgele kod çalıştırmaya izin verir. Ancak kaynak dağıtımlarını değerlendirirken şüpheli bağlantılar içeren kaynak dağıtımlarını kurmaktan kaçınmak önemlidir.
Nasıl düzeltilir
- Python Software Foundation CPython3.9.23, 3.10.18, 3.11.13, 3.12.11, 3.13.4, 3.14.0b3 ya da sonraki bir sürüm
- github.com/python/cpython/pull/135037
- github.com/python/cpython/commit/3612d8f51741b11f36f8fb0494d79086bac9390a
- github.com/python/cpython/commit/9e0ac76d96cf80b49055f6d6b9a6763fb9215c2a
- github.com/python/cpython/commit/19de092debb3d7e832e5672cc2f7b788d35951da
- github.com/python/cpython/commit/aa9eb5f757ceff461e6e996f12c89e5d9b583b01
- github.com/python/cpython/commit/28463dba112af719df1e8b0391c46787ad756dd9
- github.com/python/cpython/commit/4633f3f497b1ff70e4a35b6fe2c907cbe2d4cb2e
- github.com/python/cpython/commit/9c1110ef6652687d7c55f590f909720eddde965a
- github.com/python/cpython/commit/dd8f187d0746da151e0025c51680979ac5b4cfb1
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Python Software Foundation CPython | v < 3.9.23, 3.10.0 ≤ v < 3.10.18, 3.11.0 ≤ v < 3.11.13, 3.12.0 ≤ v < 3.12.11, 3.13.0 ≤ v < 3.13.4, 3.14.0a1 ≤ v < 3.14.0b3 | 3.9.23, 3.10.18, 3.11.13, 3.12.11, 3.13.4, 3.14.0b3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.