CVE-2025-48387：高危tar-fs漏洞致数百万系统面临任意文件写入风险
💡
原文中文，约900字，阅读约需3分钟。
📝
内容提要
广泛使用的NPM包tar-fs存在高危漏洞CVE-2025-48387，允许通过恶意tar文件进行目录遍历攻击，影响多个版本。建议用户立即升级至安全版本，无法升级的项目应限制不可信tar文件的解压并监控文件变更。
🎯
关键要点
- NPM包tar-fs存在高危漏洞CVE-2025-48387，允许通过恶意tar文件进行目录遍历攻击。
- 该漏洞影响多个版本，包括v3.0.8及更早版本、v2.1.2和v1.16.4。
- 漏洞允许攻击者在目标目录外写入任意文件，可能导致敏感数据泄露或数据损坏。
- 3.0.2至3.0.8版本同时存在硬链接和符号链接利用漏洞，增加了攻击风险。
- 已发布安全版本v3.0.9、v2.1.3和v1.16.5，建议用户立即升级。
- 无法升级的项目应限制不可信tar文件的解压并监控文件变更。
- 该漏洞与历史漏洞CVE-2018-20835和CVE-2024-12905有关，所有tar-fs版本均可能受影响。
❓
延伸问答
CVE-2025-48387漏洞的主要风险是什么？
该漏洞允许攻击者通过恶意tar文件进行目录遍历攻击，导致任意文件写入，可能导致敏感数据泄露或数据损坏。
哪些版本的tar-fs受CVE-2025-48387漏洞影响？
受影响的版本包括v3.0.8及更早版本、v2.1.2和v1.16.4。
如何修复CVE-2025-48387漏洞？
建议用户立即升级至安全版本v3.0.9、v2.1.3和v1.16.5。
如果无法升级tar-fs，应该采取什么措施？
无法升级的项目应限制不可信tar文件的解压并监控文件变更。
CVE-2025-48387与历史漏洞有什么关联？
该漏洞与历史漏洞CVE-2018-20835和CVE-2024-12905有关，所有tar-fs版本均可能受影响。
tar-fs漏洞的攻击方式是什么？
攻击者可以通过恶意tar文件实施目录遍历攻击，覆写解压路径外的文件。
➡️
