Rust异步TAR库TARmageddon高危漏洞可致远程代码执行

主要观点总结

本文讲述了研究人员在Rust编程语言中流行的库_async-tar_及其分支版本_tokio-tar_中发现了一个名为TARmageddon的严重漏洞（CVE-2025-62518）。该漏洞评分高达8.1，可能通过文件覆盖攻击导致远程代码执行，并可能通过应用程序传播感染。建议用户及时修补活跃分支版本，并考虑迁移到已修复漏洞的活跃维护分支。

关键观点总结

关键观点1: 漏洞概述

研究人员在Rust的_async-tar_库及其分支_tokio-tar_中发现了TARmageddon漏洞，这是一个严重的边界解析漏洞。该漏洞影响多个主流项目，且无法准确量化其在整个生态系统中的影响范围。

关键观点2: 漏洞危险性

TAR文件在Unix和Linux系统中被用于打包文件，该漏洞允许攻击者在处理TAR文件时执行恶意操作，如覆盖关键文件或获取未经授权的文件系统访问权限。尽管目前尚未发现该漏洞被利用的案例，但其评分高达8.1，可能引起攻击者的注意。

关键观点3: 修复建议

信息安全负责人应审计代码以确保对_tokio-tar_的依赖已经修补，审查TAR文件的使用情况，并在处理归档文件时进行隔离。同时，持续监控与该库相关的潜在利用或进一步漏洞。

关键观点4: 潜在影响

该漏洞是一种去同步缺陷，允许攻击者在TAR提取过程中夹带额外的归档条目。Edera描述的潜在感染场景包括针对使用_tokio-tar_的Python包管理器的攻击和针对具有独立'扫描/批准'阶段的任何系统的攻击。