CVE-2026-33056
Açıklama
tar-rs, Rust için bir tar arşivi okuma/yazma kütüphanesidir. 0.4.44 ve altı sürümlerde, bir tar arşivi açılırken tar crate'inin unpack_dir fonksiyonu, halihazırda mevcut olan bir yolun dizin olup olmadığını kontrol etmek için fs::metadata() kullanır. fs::metadata() sembolik bağlantıları takip ettiği için, bir sembolik bağlantı girdisinin ardından aynı isimde bir dizin girdisi içeren özel olarak hazırlanmış bir tarball, crate'in sembolik bağlantı hedefini geçerli bir mevcut dizin olarak değerlendirmesine ve ardından buna chmod uygulamasına neden olur. Bu durum, bir saldırganın çıkarma kök dizini dışındaki rastgele dizinlerin izinlerini değiştirmesine olanak tanır. Bu sorun 0.4.45 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- tar_project tar0.4.45 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tar_project tar | v < 0.4.45 | 0.4.45 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.