Rust异步TAR库TARmageddon漏洞：嵌套压缩包处理时可植入恶意档案
💡
原文中文，约1200字，阅读约需3分钟。
📝
内容提要
Rust异步TAR库async-tar存在高危漏洞CVE-2025-62518，攻击者可利用该漏洞实现远程代码执行。该漏洞源于PAX和ustar标头处理不一致，导致嵌套TAR中的恶意文件被误判为合法条目。开发者需警惕逻辑漏洞，Rust并非绝对安全。
🎯
关键要点
- Rust异步TAR库async-tar存在高危漏洞CVE-2025-62518，攻击者可利用该漏洞实现远程代码执行。
- 漏洞源于PAX和ustar标头处理不一致，导致嵌套TAR中的恶意文件被误判为合法条目。
- 该漏洞的CVSS评分为8.1，命名为TARmageddon。
- 攻击者可通过利用PAX和ustar标头之间的不匹配，将嵌套TAR中的文件'偷渡'到外部解压流程中。
- 潜在攻击场景包括文件覆盖、软件供应链投毒和绕过安全扫描器。
- 实际攻击场景包括恶意Python包替换和被污染的容器镜像层注入文件。
- 报告提醒开发者，Rust并非绝对安全，逻辑漏洞仍需警惕。
❓
延伸问答
Rust异步TAR库的TARmageddon漏洞是什么？
TARmageddon漏洞是Rust异步TAR库async-tar中的一个高危漏洞，攻击者可利用该漏洞实现远程代码执行。
CVE-2025-62518漏洞的主要风险是什么？
该漏洞可能导致文件覆盖、软件供应链投毒和绕过安全扫描器等风险。
TARmageddon漏洞是如何被利用的？
攻击者通过利用PAX和ustar标头之间的不匹配，将嵌套TAR中的文件偷渡到外部解压流程中。
开发者应该如何应对TARmageddon漏洞？
开发者应保持警惕，注意逻辑漏洞，确保对所有类型的漏洞进行防范，无论使用何种编程语言。
TARmageddon漏洞的CVSS评分是多少？
该漏洞的CVSS评分为8.1，属于高危漏洞。
实际攻击场景中，TARmageddon漏洞可能导致哪些具体问题？
实际攻击场景包括恶意Python包替换和被污染的容器镜像层注入文件。
🏷️
标签
➡️
