Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за пределы базового каталога"	+/–
Сообщение от opennews (?), 18-Авг-25, 10:52
В NPM-пакете tar-fs выявлена... Подробнее: https://www.opennet.me/opennews/art.shtml?num=63740
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

2. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+1 +/–
Сообщение от Аноним (2), 18-Авг-25, 11:07
А это нормально, когда уязвимость в  NPM, а в качестве примера код на python ?
Ответить | Правка | Наверх | Cообщить модератору

	10. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+/–
	Сообщение от Аноним (10), 18-Авг-25, 11:45
	код, подготавливающий проблемный файл, может быть на любом языке
	Ответить | Правка | Наверх | Cообщить модератору

	13. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+/–
	Сообщение от Аноним (13), 18-Авг-25, 12:15
	Эт че, в NPM опять что то корявое выложили? Они там концептуально не обучаемые походу, эти NPM-щики.
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

3. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+7 +/–
Сообщение от Аноним (3), 18-Авг-25, 11:09
Нужен язык для безопасной работы с символическими ссылками.
Ответить | Правка | Наверх | Cообщить модератору

	14. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+1 +/–
	Сообщение от Аноним (13), 18-Авг-25, 12:16
	как насчет RUST? там у них есть unsafe! есть что возразить?
	Ответить | Правка | Наверх | Cообщить модератору

	17. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+/–
	Сообщение от Аноним (17), 18-Авг-25, 12:33
	Так а кто там проверяет символические ссылки, чекер боровов проверяет?
	Ответить | Правка | Наверх | Cообщить модератору

	22. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+/–
	Сообщение от Аноним (22), 18-Авг-25, 12:55
	Надо запрос разработчикам запилить. Что бы добавили в язык безопасность работы с символическими ссылками.
	Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

4. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	–3 +/–
Сообщение от Аноним (4), 18-Авг-25, 11:18
Почему программисты тупо не умеют работать с ../../ ? Что сложного, а?
Ответить | Правка | Наверх | Cообщить модератору

	5. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+3 +/–
	Сообщение от Аноним (5), 18-Авг-25, 11:18
	Ты тоже не умеешь
	Ответить | Правка | Наверх | Cообщить модератору

	6. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+/–
	Сообщение от Аноним (6), 18-Авг-25, 11:20
	Важное уточнение - программисты яваскрипт.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	7. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	–1 +/–
	Сообщение от Аноним (4), 18-Авг-25, 11:22
	Да ладно, это всюду наблюдаем, в том числе на дыряшечке. Именно программисты не осиливают такую наипростейшую концепцию, как "родительская директория".
	Ответить | Правка | Наверх | Cообщить модератору

	8. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+1 +/–
	Сообщение от fc (??), 18-Авг-25, 11:37
	> в том числе на дыряшечке её грех не упямянуть? а как у вас на божественном русте?
	Ответить | Правка | Наверх | Cообщить модератору

	11. Скрыто модератором	–1 +/–
	Сообщение от Аноним (-), 18-Авг-25, 11:54
	> её грех не упямянуть? > а как у вас на божественном русте? Конечно не грех! Раст что... там же пишут зумеры-смузихлебы, что от них вообще ожидать. А вот на дыряшке пишут Настояшие Погромисты™, диды-аксакАлы, которые ух! Но потом внезапно оказывается что пук-cpeньк и они делают такую же ошибку.
	Ответить | Правка | Наверх | Cообщить модератору

	20. Скрыто модератором	+1 +/–
	Сообщение от fd (?), 18-Авг-25, 12:47
	> Конечно не грех! а просматривается подругому, и к месту и не к месту > А вот на дыряшке пишут Настояшие Погромисты™, диды-аксакАлы, которые ух! дада. лудиты, динозавры, извощики
	Ответить | Правка | Наверх | Cообщить модератору

	18. Скрыто модератором	+/–
	Сообщение от Аноним (-), 18-Авг-25, 12:38
	Важное уточнение - программисты жабаскрипт.
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	23. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+/–
	Сообщение от Аноним (23), 18-Авг-25, 13:01
	Не знал, что 7-zip написан на яваскрипт.
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	26. Скрыто модератором	+/–
	Сообщение от Аноним (-), 18-Авг-25, 13:11
	Конечно на яваскрипт! Чо ты тупишь.
	Ответить | Правка | Наверх | Cообщить модератору

9. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+/–
Сообщение от Аноним (9), 18-Авг-25, 11:41
Интернет система , ой у нас уязвимость мы вышли за пределы интернета. Собираем на мак с помощью linux /.../.../.../ , ой а чё это мы собираем linux библиотеки на мак , опять вышли за пределы эипла. Вот на что похожи эти новости
Ответить | Правка | Наверх | Cообщить модератору

	15. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+1 +/–
	Сообщение от Аноним (13), 18-Авг-25, 12:19
	Есть хороший лайфхак по генерированию "новостей" - смотришь в NPM репах с чем там они на этой неделе обосрались, и у тебя куча контента. Если не прокатило - вспоминаем, что в NPM теперь можно подключать сторонние репы, и далее переходим к пункту 1.
	Ответить | Правка | Наверх | Cообщить модератору

12. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	–1 +/–
Сообщение от Аноним (13), 18-Авг-25, 12:13
Господа, так может следует сначала просто определиться, разрешено ли вообще архиватору распаковывать файлы куда угодно, кроме того каталога в котором лежит файл (естественно при наличии соотвествующих прав доступа в файловой системе). А именно это я прочитал в новости - "в любые части ФС, не ограниченные каталогом, в который осуществляется распаковка" Например достопочтенный гуевый винрар (как и 7zip), позволяют пользователю вручную указать директорию для распаковки (пока не учитываем "специально подготовленные архивы" с кривыми путями) - вот это хорошо или плохо? Может вопрос-то просто в корявой обработке путей архиваторами?
Ответить | Правка | Наверх | Cообщить модератору

	16. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+/–
	Сообщение от Аноним (16), 18-Авг-25, 12:29
	Я могу положить внутрь архива символическую ссылку с путём "nop" и содержимым ".", а следом за ней ещё одну символическую ссылку "yousuckatparsingsymlinks" с содержимым "nop/nop/nop/..". Всё, теперь следующий файл кладём с путём "yousuckatparsingsymlinks/outoffolder", и при распаковке он окажется снаружи папки, куда ты распаковывал архив. Проблема элементарная - забыли в режиме ограничения пути распаковки (по дефолту tar позволяет любые пути в нём записать, что удобно для тех же обновлений системы) разыменовывать содержимое симлинков и проверять уже реальный путь, куда они будут указывать. Тут даже парсер переписывать не надо - только readlink делать при встрече любой симлинки.
	Ответить | Правка | Наверх | Cообщить модератору

	19. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	+/–
	Сообщение от Аноним (16), 18-Авг-25, 12:38
	Я так прикинул, в симлинках же можно любой путь указать, в том числе абсолютный "/tmp" или "/etc". Если не проверяется реальный путь с подставлением содержимого симлинки, то наверное не проверяется и то, что в симлинке лежит абсолютное перенаправление, которым можно сразу попасть в нужную часть FS.
	Ответить | Правка | Наверх | Cообщить модератору

	25. Скрыто модератором	+/–
	Сообщение от Аноним (-), 18-Авг-25, 13:10
	Ипатьты умный.
	Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

21. "Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за п..."	–1 +/–
Сообщение от Анон1110м (?), 18-Авг-25, 12:49
Вот почему я предпочитаю ACE.
Ответить | Правка | Наверх | Cообщить модератору

	24. Скрыто модератором	+/–
	Сообщение от Аноним (-), 18-Авг-25, 13:09
	Что такое ACE?
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема