Comprendre le bogue de traversée de chemin dans le module tarfile de Python
Récemment, une équipe de chercheurs en sécurité ont annoncé la découverte d'un bogue vieux de quinze ans dans la fonctionnalité d'extraction de fichiers tar de Python. La vulnérabilité a été révélée pour la première fois en 2007 et suivie comme CVE-2007-4559. Une note a été ajoutée à la documentation officielle de Python, mais le bogue lui-même n'a pas été corrigé.
Cette vulnérabilité pourrait avoir un impact sur des milliers de projets logiciels, mais de nombreuses personnes ne connaissent pas la situation ni la manière de la gérer. C'est pourquoi, ici à Secure Code Warrior, nous vous donnons la possibilité de simuler vous-même l'exploitation de cette vulnérabilité pour en constater l'impact de première main et acquérir une expérience pratique des mécanismes de ce bogue persistant, afin de mieux protéger votre application !
Essayez la simulation Mission maintenant.
La vulnérabilité : traversée de chemins lors de l'extraction du fichier tar
La traversée de chemin ou de répertoire se produit lorsqu'une entrée utilisateur non nettoyée est utilisée pour créer un chemin de fichier, ce qui permet à un attaquant d'accéder à des fichiers et de les remplacer, et même d'exécuter du code arbitraire.
La vulnérabilité existe dans Python fichier goudron module. Un fichier tar (archive sur bande) est un fichier unique, appelé archive. Il regroupe plusieurs fichiers avec leurs métadonnées et est généralement reconnu par le fait que .tar.gz ou .tgz extension. Chaque membre de l'archive peut être représenté par un Informations sur les étoiles objet, qui contient des métadonnées, telles que le nom du fichier, l'heure de modification, la propriété, etc.
Le risque provient de la capacité des archives à être extraites à nouveau.
Lors de l'extraction, chaque membre a besoin d'un chemin dans lequel écrire. Cet emplacement est créé en joignant le chemin de base au nom du fichier :
Une fois ce chemin créé, il est transmis au tarfile.extract ou tarfile.extractall fonctions pour effectuer l'extraction :
Le problème ici est l'absence de nettoyage du nom de fichier. Un attaquant pourrait renommer les fichiers pour inclure des caractères de traversée de chemin, tels que point barre oblique (../), ce qui ferait sortir le fichier du répertoire dans lequel il était censé se trouver et remplacerait des fichiers arbitraires. Cela pourrait éventuellement conduire à l'exécution de code à distance, ce qui est mûr pour l'exploitation.
La vulnérabilité apparaît dans d'autres scénarios, si vous savez comment l'identifier. Outre la gestion des fichiers tar par Python, la vulnérabilité existe dans extraction de fichiers zip. Vous le connaissez peut-être sous un autre nom, tel que vulnérabilité Zip Slip, qui s'est manifesté dans d'autres langages que Python !
Comment pouvez-vous atténuer les risques ?
Bien que la vulnérabilité soit connue depuis des années, les responsables de Python considèrent que la fonctionnalité d'extraction fonctionne ce qu'il est censé faire. Dans ce cas, certains peuvent dire « c'est une fonctionnalité, pas un bogue ». Malheureusement, les développeurs ne peuvent pas toujours éviter d'extraire des fichiers tar ou zip d'une source inconnue. C'est à eux de nettoyer les entrées non fiables afin d'éviter les vulnérabilités liées à la traversée des chemins dans le cadre de pratiques de développement sécurisées.
Vous souhaitez en savoir plus sur la façon d'écrire du code sécurisé et d'atténuer les risques avec Python ?
Essayez notre Défi Python gratuit.
Si vous souhaitez obtenir plus de directives de codage gratuites, consultez Coach de code sécurisé pour vous aider à rester au fait des pratiques de codage sécurisées.
Récemment, une équipe de chercheurs en sécurité a annoncé la découverte d'un bogue vieux de quinze ans dans la fonctionnalité d'extraction de fichiers tar de Python. La vulnérabilité a été révélée pour la première fois en 2007 et identifiée sous le nom CVE-2007-4559. Une note a été ajoutée à la documentation officielle de Python, mais le bogue lui-même n'a pas été corrigé.
Secure Code Warrior est là pour aider votre organisation à sécuriser le code tout au long du cycle de développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable de la sécurité des applications, développeur, responsable de la sécurité informatique ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démo
Laura Verheyde est une développeuse de logiciels chez Secure Code Warrior qui se concentre sur la recherche de vulnérabilités et la création de contenu pour les missions et les laboratoires de codage.
Récemment, une équipe de chercheurs en sécurité ont annoncé la découverte d'un bogue vieux de quinze ans dans la fonctionnalité d'extraction de fichiers tar de Python. La vulnérabilité a été révélée pour la première fois en 2007 et suivie comme CVE-2007-4559. Une note a été ajoutée à la documentation officielle de Python, mais le bogue lui-même n'a pas été corrigé.
Cette vulnérabilité pourrait avoir un impact sur des milliers de projets logiciels, mais de nombreuses personnes ne connaissent pas la situation ni la manière de la gérer. C'est pourquoi, ici à Secure Code Warrior, nous vous donnons la possibilité de simuler vous-même l'exploitation de cette vulnérabilité pour en constater l'impact de première main et acquérir une expérience pratique des mécanismes de ce bogue persistant, afin de mieux protéger votre application !
Essayez la simulation Mission maintenant.
La vulnérabilité : traversée de chemins lors de l'extraction du fichier tar
La traversée de chemin ou de répertoire se produit lorsqu'une entrée utilisateur non nettoyée est utilisée pour créer un chemin de fichier, ce qui permet à un attaquant d'accéder à des fichiers et de les remplacer, et même d'exécuter du code arbitraire.
La vulnérabilité existe dans Python fichier goudron module. Un fichier tar (archive sur bande) est un fichier unique, appelé archive. Il regroupe plusieurs fichiers avec leurs métadonnées et est généralement reconnu par le fait que .tar.gz ou .tgz extension. Chaque membre de l'archive peut être représenté par un Informations sur les étoiles objet, qui contient des métadonnées, telles que le nom du fichier, l'heure de modification, la propriété, etc.
Le risque provient de la capacité des archives à être extraites à nouveau.
Lors de l'extraction, chaque membre a besoin d'un chemin dans lequel écrire. Cet emplacement est créé en joignant le chemin de base au nom du fichier :
Une fois ce chemin créé, il est transmis au tarfile.extract ou tarfile.extractall fonctions pour effectuer l'extraction :
Le problème ici est l'absence de nettoyage du nom de fichier. Un attaquant pourrait renommer les fichiers pour inclure des caractères de traversée de chemin, tels que point barre oblique (../), ce qui ferait sortir le fichier du répertoire dans lequel il était censé se trouver et remplacerait des fichiers arbitraires. Cela pourrait éventuellement conduire à l'exécution de code à distance, ce qui est mûr pour l'exploitation.
La vulnérabilité apparaît dans d'autres scénarios, si vous savez comment l'identifier. Outre la gestion des fichiers tar par Python, la vulnérabilité existe dans extraction de fichiers zip. Vous le connaissez peut-être sous un autre nom, tel que vulnérabilité Zip Slip, qui s'est manifesté dans d'autres langages que Python !
Comment pouvez-vous atténuer les risques ?
Bien que la vulnérabilité soit connue depuis des années, les responsables de Python considèrent que la fonctionnalité d'extraction fonctionne ce qu'il est censé faire. Dans ce cas, certains peuvent dire « c'est une fonctionnalité, pas un bogue ». Malheureusement, les développeurs ne peuvent pas toujours éviter d'extraire des fichiers tar ou zip d'une source inconnue. C'est à eux de nettoyer les entrées non fiables afin d'éviter les vulnérabilités liées à la traversée des chemins dans le cadre de pratiques de développement sécurisées.
Vous souhaitez en savoir plus sur la façon d'écrire du code sécurisé et d'atténuer les risques avec Python ?
Essayez notre Défi Python gratuit.
Si vous souhaitez obtenir plus de directives de codage gratuites, consultez Coach de code sécurisé pour vous aider à rester au fait des pratiques de codage sécurisées.
Récemment, une équipe de chercheurs en sécurité ont annoncé la découverte d'un bogue vieux de quinze ans dans la fonctionnalité d'extraction de fichiers tar de Python. La vulnérabilité a été révélée pour la première fois en 2007 et suivie comme CVE-2007-4559. Une note a été ajoutée à la documentation officielle de Python, mais le bogue lui-même n'a pas été corrigé.
Cette vulnérabilité pourrait avoir un impact sur des milliers de projets logiciels, mais de nombreuses personnes ne connaissent pas la situation ni la manière de la gérer. C'est pourquoi, ici à Secure Code Warrior, nous vous donnons la possibilité de simuler vous-même l'exploitation de cette vulnérabilité pour en constater l'impact de première main et acquérir une expérience pratique des mécanismes de ce bogue persistant, afin de mieux protéger votre application !
Essayez la simulation Mission maintenant.
La vulnérabilité : traversée de chemins lors de l'extraction du fichier tar
La traversée de chemin ou de répertoire se produit lorsqu'une entrée utilisateur non nettoyée est utilisée pour créer un chemin de fichier, ce qui permet à un attaquant d'accéder à des fichiers et de les remplacer, et même d'exécuter du code arbitraire.
La vulnérabilité existe dans Python fichier goudron module. Un fichier tar (archive sur bande) est un fichier unique, appelé archive. Il regroupe plusieurs fichiers avec leurs métadonnées et est généralement reconnu par le fait que .tar.gz ou .tgz extension. Chaque membre de l'archive peut être représenté par un Informations sur les étoiles objet, qui contient des métadonnées, telles que le nom du fichier, l'heure de modification, la propriété, etc.
Le risque provient de la capacité des archives à être extraites à nouveau.
Lors de l'extraction, chaque membre a besoin d'un chemin dans lequel écrire. Cet emplacement est créé en joignant le chemin de base au nom du fichier :
Une fois ce chemin créé, il est transmis au tarfile.extract ou tarfile.extractall fonctions pour effectuer l'extraction :
Le problème ici est l'absence de nettoyage du nom de fichier. Un attaquant pourrait renommer les fichiers pour inclure des caractères de traversée de chemin, tels que point barre oblique (../), ce qui ferait sortir le fichier du répertoire dans lequel il était censé se trouver et remplacerait des fichiers arbitraires. Cela pourrait éventuellement conduire à l'exécution de code à distance, ce qui est mûr pour l'exploitation.
La vulnérabilité apparaît dans d'autres scénarios, si vous savez comment l'identifier. Outre la gestion des fichiers tar par Python, la vulnérabilité existe dans extraction de fichiers zip. Vous le connaissez peut-être sous un autre nom, tel que vulnérabilité Zip Slip, qui s'est manifesté dans d'autres langages que Python !
Comment pouvez-vous atténuer les risques ?
Bien que la vulnérabilité soit connue depuis des années, les responsables de Python considèrent que la fonctionnalité d'extraction fonctionne ce qu'il est censé faire. Dans ce cas, certains peuvent dire « c'est une fonctionnalité, pas un bogue ». Malheureusement, les développeurs ne peuvent pas toujours éviter d'extraire des fichiers tar ou zip d'une source inconnue. C'est à eux de nettoyer les entrées non fiables afin d'éviter les vulnérabilités liées à la traversée des chemins dans le cadre de pratiques de développement sécurisées.
Vous souhaitez en savoir plus sur la façon d'écrire du code sécurisé et d'atténuer les risques avec Python ?
Essayez notre Défi Python gratuit.
Si vous souhaitez obtenir plus de directives de codage gratuites, consultez Coach de code sécurisé pour vous aider à rester au fait des pratiques de codage sécurisées.
Cliquez sur le lien ci-dessous et téléchargez le PDF de cette ressource.
Secure Code Warrior est là pour aider votre organisation à sécuriser le code tout au long du cycle de développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable de la sécurité des applications, développeur, responsable de la sécurité informatique ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Afficher le rapportRéservez une démo
Laura Verheyde est une développeuse de logiciels chez Secure Code Warrior qui se concentre sur la recherche de vulnérabilités et la création de contenu pour les missions et les laboratoires de codage.
Récemment, une équipe de chercheurs en sécurité ont annoncé la découverte d'un bogue vieux de quinze ans dans la fonctionnalité d'extraction de fichiers tar de Python. La vulnérabilité a été révélée pour la première fois en 2007 et suivie comme CVE-2007-4559. Une note a été ajoutée à la documentation officielle de Python, mais le bogue lui-même n'a pas été corrigé.
Cette vulnérabilité pourrait avoir un impact sur des milliers de projets logiciels, mais de nombreuses personnes ne connaissent pas la situation ni la manière de la gérer. C'est pourquoi, ici à Secure Code Warrior, nous vous donnons la possibilité de simuler vous-même l'exploitation de cette vulnérabilité pour en constater l'impact de première main et acquérir une expérience pratique des mécanismes de ce bogue persistant, afin de mieux protéger votre application !
Essayez la simulation Mission maintenant.
La vulnérabilité : traversée de chemins lors de l'extraction du fichier tar
La traversée de chemin ou de répertoire se produit lorsqu'une entrée utilisateur non nettoyée est utilisée pour créer un chemin de fichier, ce qui permet à un attaquant d'accéder à des fichiers et de les remplacer, et même d'exécuter du code arbitraire.
La vulnérabilité existe dans Python fichier goudron module. Un fichier tar (archive sur bande) est un fichier unique, appelé archive. Il regroupe plusieurs fichiers avec leurs métadonnées et est généralement reconnu par le fait que .tar.gz ou .tgz extension. Chaque membre de l'archive peut être représenté par un Informations sur les étoiles objet, qui contient des métadonnées, telles que le nom du fichier, l'heure de modification, la propriété, etc.
Le risque provient de la capacité des archives à être extraites à nouveau.
Lors de l'extraction, chaque membre a besoin d'un chemin dans lequel écrire. Cet emplacement est créé en joignant le chemin de base au nom du fichier :
Une fois ce chemin créé, il est transmis au tarfile.extract ou tarfile.extractall fonctions pour effectuer l'extraction :
Le problème ici est l'absence de nettoyage du nom de fichier. Un attaquant pourrait renommer les fichiers pour inclure des caractères de traversée de chemin, tels que point barre oblique (../), ce qui ferait sortir le fichier du répertoire dans lequel il était censé se trouver et remplacerait des fichiers arbitraires. Cela pourrait éventuellement conduire à l'exécution de code à distance, ce qui est mûr pour l'exploitation.
La vulnérabilité apparaît dans d'autres scénarios, si vous savez comment l'identifier. Outre la gestion des fichiers tar par Python, la vulnérabilité existe dans extraction de fichiers zip. Vous le connaissez peut-être sous un autre nom, tel que vulnérabilité Zip Slip, qui s'est manifesté dans d'autres langages que Python !
Comment pouvez-vous atténuer les risques ?
Bien que la vulnérabilité soit connue depuis des années, les responsables de Python considèrent que la fonctionnalité d'extraction fonctionne ce qu'il est censé faire. Dans ce cas, certains peuvent dire « c'est une fonctionnalité, pas un bogue ». Malheureusement, les développeurs ne peuvent pas toujours éviter d'extraire des fichiers tar ou zip d'une source inconnue. C'est à eux de nettoyer les entrées non fiables afin d'éviter les vulnérabilités liées à la traversée des chemins dans le cadre de pratiques de développement sécurisées.
Vous souhaitez en savoir plus sur la façon d'écrire du code sécurisé et d'atténuer les risques avec Python ?
Essayez notre Défi Python gratuit.
Si vous souhaitez obtenir plus de directives de codage gratuites, consultez Coach de code sécurisé pour vous aider à rester au fait des pratiques de codage sécurisées.
Table des matières
Secure Code Warrior est là pour aider votre organisation à sécuriser le code tout au long du cycle de développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable de la sécurité des applications, développeur, responsable de la sécurité informatique ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démoTéléchargerRessources pour vous aider à démarrer
Sujets et contenus de formation sur le code sécurisé
Notre contenu de pointe évolue constamment pour s'adapter à l'évolution constante du paysage du développement de logiciels tout en tenant compte de votre rôle. Des sujets couvrant tout, de l'IA à l'injection XQuery, proposés pour une variété de postes, allant des architectes aux ingénieurs en passant par les chefs de produit et l'assurance qualité. Découvrez un aperçu de ce que notre catalogue de contenu a à offrir par sujet et par rôle.
%20(1).avif)
.avif)
Threat Modeling with AI: Turning Every Developer into a Threat Modeler
Walk away better equipped to help developers combine threat modeling ideas and techniques with the AI tools they're already using to strengthen security, improve collaboration, and build more resilient software from the start.
Ressources pour vous aider à démarrer
Cybermon est de retour : les missions d'IA Beat the Boss sont désormais disponibles à la demande
Cybermon 2025 Beat the Boss est désormais disponible toute l'année dans SCW. Déployez des défis de sécurité avancés liés à l'IA et au LLM pour renforcer le développement sécurisé de l'IA à grande échelle.
Explication de la loi sur la cyberrésilience : ce que cela signifie pour le développement de logiciels sécurisés dès la conception
Découvrez ce que la loi européenne sur la cyberrésilience (CRA) exige, à qui elle s'applique et comment les équipes d'ingénieurs peuvent se préparer grâce à des pratiques de sécurité dès la conception, à la prévention des vulnérabilités et au renforcement des capacités des développeurs.
Facilitateur 1 : Critères de réussite définis et mesurables
Enabler 1 donne le coup d'envoi de notre série en 10 parties intitulée Enablers of Success en montrant comment associer le codage sécurisé à des résultats commerciaux tels que la réduction des risques et la rapidité pour assurer la maturité à long terme des programmes.
