CVE-2025-4517
Açıklama
filter="data" ile çıkarma işlemi sırasında, çıkarma dizininin dışına rastgele dosya sistemi yazımlarına izin verir. Güvenilmeyen tar arşivlerini çıkarmak için tarfile modülünü, TarFile.extractall() veya TarFile.extract() fonksiyonlarını filter= parametresine "data" veya "tar" değeri vererek kullanıyorsanız bu güvenlik açığından etkilenirsiniz. Daha fazla bilgi için tarfile çıkarma filtreleri dokümantasyonuna bakınız: https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filter Python 3.14 ve sonrası sürümlerde filter= parametresinin varsayılan değerinin "no filtering"den "data"ya değiştiğini, dolayısıyla bu yeni varsayılan davranışa güveniyorsanız kullanımınızın da etkilendiğini unutmayın. Bu güvenlik açıklarının hiçbirinin, kaynak dağıtımların kurulumunu önemli ölçüde etkilemediğini belirtmek gerekir; çünkü kaynak dağıtımlar zaten derleme süreci sırasında rastgele kod çalıştırılmasına izin vermektedir. Bununla birlikte, kaynak dağıtımları değerlendirilirken şüpheli bağlantılar içeren kaynak dağıtımlarının kurulmasından kaçınmak önemlidir.
Nasıl düzeltilir
- Python Software Foundation CPython3.9.23, 3.10.18, 3.11.13, 3.12.11, 3.13.4, 3.14.0b3 ya da sonraki bir sürüm
- github.com/python/cpython/pull/135037
- github.com/python/cpython/commit/3612d8f51741b11f36f8fb0494d79086bac9390a
- github.com/python/cpython/commit/9e0ac76d96cf80b49055f6d6b9a6763fb9215c2a
- github.com/python/cpython/commit/19de092debb3d7e832e5672cc2f7b788d35951da
- github.com/python/cpython/commit/aa9eb5f757ceff461e6e996f12c89e5d9b583b01
- github.com/python/cpython/commit/28463dba112af719df1e8b0391c46787ad756dd9
- github.com/python/cpython/commit/4633f3f497b1ff70e4a35b6fe2c907cbe2d4cb2e
- github.com/python/cpython/commit/9c1110ef6652687d7c55f590f909720eddde965a
- github.com/python/cpython/commit/dd8f187d0746da151e0025c51680979ac5b4cfb1
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Python Software Foundation CPython | v < 3.9.23, 3.10.0 ≤ v < 3.10.18, 3.11.0 ≤ v < 3.11.13, 3.12.0 ≤ v < 3.12.11, 3.13.0 ≤ v < 3.13.4, 3.14.0a1 ≤ v < 3.14.0b3 | 3.9.23, 3.10.18, 3.11.13, 3.12.11, 3.13.4, 3.14.0b3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.