PT-2021-5756 · Npm+7 · Node-Tar+7
Aveek Biswas
·
Publicado
2021-07-24
·
Atualizado
2025-09-29
·
CVE-2021-32804
CVSS v3.1
8.2
Alta
| Vetor | AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do node-tar anteriores à 3.3.2, 4.4.14, 5.0.6 e 6.1.1
Descrição
A vulnerabilidade está relacionada ao módulo node-tar, utilizado para lidar com arquivos tar no Node.js, que apresenta um problema de filtragem incorreta da sequência de caracteres ‘/’. Isso poderia permitir que um invasor remoto comprometesse a integridade dos dados e causasse uma negação de serviço. O pacote npm “tar” (também conhecido como node-tar) apresenta uma vulnerabilidade de criação/sobrescrita arbitrária de arquivos devido à sanitização insuficiente de caminhos absolutos. O
node-tar visa impedir a extração de caminhos absolutos de arquivos, convertendo-os em caminhos relativos quando o sinalizador preservePaths não está definido como true. No entanto, essa lógica era insuficiente quando os caminhos dos arquivos continham raízes de caminho repetidas.Recomendações
Para versões anteriores a 3.3.2, 4.4.14, 5.0.6 e 6.1.1, atualize para as respectivas versões corrigidas (3.3.2, 4.4.14, 5.0.6 ou 6.1.1) para resolver o problema. Como solução alternativa temporária, considere criar um método
onentry personalizado que sanitize o entry.path ou um método filter que remova entradas com caminhos absolutos.Exploit
Correção
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Red Hat
Rocky Linux
Suse
Node-Tar