CVE-2026-32766

astral-tokio-tar, async Rust için bir tar arşivi okuma/yazma kütüphanesidir. 0.5.6 ve önceki sürümlerde, tar arşivleri ayrıştırılırken hatalı biçimlendirilmiş PAX uzantıları sessizce atlanmaktaydı. Geçersiz PAX uzantılarının (reddedilmek yerine) sessizce atlanması; örneğin, hatalı biçimlendirilmiş bir GNU “long link” uzantısının sessizce atlanarak sonraki bir ayrıştırıcının bu uzantıyı yanlış yorumlamasını sağlamak suretiyle, bir ayrıştırıcı farkı (parser differential) için temel yapı taşı olarak kullanılabilir. Pratikte, astral-tokio-tar üzerindeki bu davranışın istismar edilmesi, ikincil olarak hatalı çalışan bir tar ayrıştırıcısı gerektirir; yani hatalı biçimlendirilmiş PAX uzantılarını yetersiz şekilde doğrulayan ve bunları atlamak veya hata vermek yerine yorumlayan bir ayrıştırıcıya ihtiyaç duyulur. Bu zafiyet, ilişkisiz herhangi bir tar ayrıştırıcısına karşı ayrı bir zafiyet gerektirdiği için düşük öncelikli olarak değerlendirilmektedir. Bu sorun 0.6.0 sürümünde düzeltilmiştir.