PT-2025-39215 · Unknown+1 · Astral-Tokio-Tar+1

CVE-2025-59825 · Publicado 2025-09-23 · Atualizado 2025-11-26

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.1

Média

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U

Nome do Software Vulnerável e Versões Afetadas astral-tokio-tar versões 0.5.3 e anteriores

Descrição astral-tokio-tar é uma biblioteca de leitura e gravação de arquivos tar para Rust assíncrono. Arquivos tar podem extrair arquivos fora do diretório de destino pretendido ao utilizar a API Entry::unpack in raw. O controle Entry::allow external symlinks pode ser contornado utilizando links simbólicos que, quando combinados, apontam para fora do diretório de destino. Esses comportamentos podem permitir que um atacante com um arquivo tar malicioso realize gravações arbitrárias de arquivos e potencialmente obtenha execução de código.

Recomendações Atualize para a versão 0.5.4 ou posterior.

Exploit

Correção

RCE

Path traversal

Enumeração de Fraquezas

CWE-22

CWE-61

Identificadores relacionados

CVE-2025-59825

GHSA-3WGQ-WRWC-VQMV

Produtos afetados

Debian

Astral-Tokio-Tar

Referências · 20

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/59xxx/CVE-2025-59825.json · Exploit
• https://github.com/astral-sh/uv/issues/12163 · Nota
• https://github.com/google/security-research/security/advisories/GHSA-9p78-p5g6-gcj8 · Nota
• https://github.com/astral-sh/tokio-tar · Nota
• https://github.com/astral-sh/tokio-tar/commit/036fdecc85c52458ace92dc9e02e9cef90684e75 · Nota
• https://github.com/astral-sh/tokio-tar/security/advisories/GHSA-3wgq-wrwc-vqmv · Nota
• https://twitter.com/CVEnew/status/1970621784442757594 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2025-59825 · Aviso do Fabricante
• https://t.me/CVEtracker/33203 · Publicação no Telegram
• https://twitter.com/NightfallCVE/status/1971206908687286690 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-59825 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-3wgq-wrwc-vqmv · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2025-59825 · Aviso do Fabricante
• https://twitter.com/ksg93rd/status/1991341130957365565 · Publicação no Twitter
• https://security-tracker.debian.org/tracker/CVE-2025-59825 · Aviso do Fabricante