CVE-2026-23950

Node.js için bir Tar olan node-tar, 7.5.3 dahil önceki sürümlerde bir yarış durumu (race condition) zafiyetine sahiptir. Bu durum, `path-reservations` sistemindeki Unicode yol çakışmalarının eksik işlenmesinden kaynaklanmaktadır. Büyük/küçük harf duyarsız veya normalleştirme duyarsız dosya sistemlerinde (test edildiği macOS APFS gibi), kütüphane çakışan yolları (örneğin `ß` ve `ss`) kilitlemeyi başaramaz ve bunların paralel olarak işlenmesine izin verir. Bu durum, kütüphanenin dahili eşzamanlılık korumalarını devre dışı bırakır ve yarış durumları aracılığıyla Sembolik Bağlantı Zehirlemesi (Symlink Poisoning) saldırılarına olanak tanır. Kütüphane, aynı yol için meta veri kontrollerinin ve dosya işlemlerinin serileştirilmesini sağlamak amacıyla bir `PathReservations` sistemi kullanır. Bu, bir girdinin diğerini eşzamanlı olarak ezebileceği yarış durumlarını önler. Bu, Keyfi Dosya Üzerine Yazmaya (Arbitrary File Overwrite) olanak tanıyan bir Yarış Durumu'dur. Bu zafiyet, macOS (APFS/HFS+) üzerinde node-tar kullanan kullanıcıları ve sistemleri etkiler. `NFD` Unicode normalleştirmesi kullanıldığı için (`ß` ve `ss` farklıdır), Unicode normalleştirmesini görmezden gelen dosya sistemlerinde (`ß` karakterinin `ss` ile bir inode çakışmasına neden olduğu APFS gibi) çakışan yolların sırası düzgün şekilde korunmaz. Bu, bir saldırganın kötü amaçlı bir tar arşivi içindeki çakışan dosya adlarını kullanarak dahili paralelleştirme kilitlerini (`PathReservations`) atlatmasını sağlar. Sürüm 7.5.4'teki yama, `path-reservations.js` dosyasını hedef dosya sisteminin davranışıyla eşleşen bir normalleştirme formu (örneğin `NFKD`) kullanacak, ardından önce `toLocaleLowerCase('en')` ve sonra `toLocaleUpperCase('en')` uygulayacak şekilde günceller. Geçici bir çözüm olarak, hemen yükseltme yapamayan ve rastgele tarball verilerini çıkarmak için programatik olarak `node-tar` kullanan kullanıcılar, bu dosya sistemi girdi adı çakışması sorunu üzerinden keyfi dosya yazımlarına karşı korunmak için tüm `SymbolicLink` girdilerini (npm'nin yaptığı gibi) filtrelemelidir.