CVE-2025-59825
Açıklama
astral-tokio-tar, asenkron Rust için bir tar arşivi okuma/yazma kütüphanesidir. astral-tokio-tar'ın 0.5.3 ve önceki sürümlerinde, Entry::unpack_in_raw API kullanıldığında tar arşivleri hedeflenen hedef dizinin dışına çıkarılabilir. Ek olarak, varsayılanı true olan Entry::allow_external_symlinks kontrolü, tek başlarına hedef dizin içerisine işaret eden ancak birleştiklerinde dışarıya işaret eden bir çift sembolik bağlantı aracılığıyla atlatılabilir. Bu davranışlar, çıkarma işlemini verilen dizinle sınırlayan güvenlik kontrolünü atlatmak için tek başına veya birlikte kullanılabilir. Bu durum, kötü amaçlı bir tar arşivine sahip bir saldırganın rastgele dosya yazma işlemi gerçekleştirmesine ve potansiyel olarak kod çalıştırmaya geçiş yapmasına olanak tanır. Bu sorun 0.5.4 sürümünde düzeltilmiştir. Güncelleme yapmak dışında bir çözüm yolu yoktur.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| astral-sh tokio-tar | < 0.5.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.