CVE-2025-48387：高危tar-fs漏洞致数百万系统面临任意文件写入风险
内容提要
广泛使用的NPM包tar-fs存在高危漏洞CVE-2025-48387，允许通过恶意tar文件进行目录遍历攻击，影响多个版本。建议用户立即升级至安全版本，无法升级的项目应限制不可信tar文件的解压并监控文件变更。
关键要点
-
NPM包tar-fs存在高危漏洞CVE-2025-48387，允许通过恶意tar文件进行目录遍历攻击。
-
该漏洞影响多个版本，包括v3.0.8及更早版本、v2.1.2和v1.16.4。
-
漏洞允许攻击者在目标目录外写入任意文件，可能导致敏感数据泄露或数据损坏。
-
3.0.2至3.0.8版本同时存在硬链接和符号链接利用漏洞，增加了攻击风险。
-
已发布安全版本v3.0.9、v2.1.3和v1.16.5，建议用户立即升级。
-
无法升级的项目应限制不可信tar文件的解压并监控文件变更。
-
该漏洞与历史漏洞CVE-2018-20835和CVE-2024-12905有关，所有tar-fs版本均可能受影响。
延伸解读
漏洞影响范围
CVE-2025-48387漏洞影响多个tar-fs版本，尤其是v3.0.8及更早版本，涉及数万依赖项目。每周下载量高达850万次，说明该漏洞的潜在影响面极广，用户需高度重视。
安全升级的重要性
已发布的安全版本v3.0.9、v2.1.3和v1.16.5应尽快升级，以防止攻击者利用该漏洞进行目录遍历和任意文件写入。未能及时升级可能导致敏感数据泄露或系统被攻击。
缓解措施与风险
对于无法升级的项目，建议限制不可信tar文件的解压，并监控文件变更。这些措施虽然不能完全消除风险，但可以降低潜在的攻击面，保护系统安全。
延伸问答
CVE-2025-48387漏洞的主要风险是什么？
该漏洞允许攻击者通过恶意tar文件进行目录遍历攻击，导致任意文件写入，可能导致敏感数据泄露或数据损坏。
哪些版本的tar-fs受CVE-2025-48387漏洞影响？
受影响的版本包括v3.0.8及更早版本、v2.1.2和v1.16.4。
如何修复CVE-2025-48387漏洞？
建议用户立即升级至安全版本v3.0.9、v2.1.3和v1.16.5。
如果无法升级tar-fs，应该采取什么措施？
无法升级的项目应限制不可信tar文件的解压并监控文件变更。
CVE-2025-48387与历史漏洞有什么关联？
该漏洞与历史漏洞CVE-2018-20835和CVE-2024-12905有关，所有tar-fs版本均可能受影响。
tar-fs漏洞的攻击方式是什么？
攻击者可以通过恶意tar文件实施目录遍历攻击，覆写解压路径外的文件。
