Comprendre la faille de traversée de répertoire dans le module tarfile de Python

Récemment, une équipe de chercheurs en sécurité a annoncé la découverte d'une vulnérabilité vieille de quinze ans dans la fonctionnalité d'extraction de fichiers tar de Python. Cette faille a été signalée pour la première fois en 2007 et répertoriée sous le nom de CVE-2007-4559. Une note a été ajoutée à la documentation officielle de Python, mais le bug en lui-même n'a jamais été corrigé.

Cette vulnérabilité pourrait affecter des milliers de projets logiciels, pourtant beaucoup ignorent la situation ou la manière d'y remédier. C'est pourquoi, chez Secure Code Warrior, nous vous donnons l'opportunité de simuler vous-même l'exploitation de cette faille pour en constater l'impact direct et acquérir une expérience pratique des mécanismes de ce bug persistant, afin de mieux protéger vos applications !

Essayez la Mission simulée dès maintenant.

La vulnérabilité : traversée de répertoire lors de l'extraction de fichiers tar

La traversée de chemin ou de répertoire se produit lorsqu'une entrée utilisateur non assainie est utilisée pour construire un chemin de fichier, permettant à un attaquant d'accéder à des fichiers, de les écraser, voire d'exécuter du code arbitraire.

La vulnérabilité réside dans le module tarfile de Python. Un fichier tar (tape archive) est un fichier unique, appelé archive. Il regroupe plusieurs fichiers ainsi que leurs métadonnées, et est généralement reconnu par l'extension .tar.gz ou .tgz. Chaque élément de l'archive peut être représenté par un objet TarInfo, qui contient des métadonnées telles que le nom du fichier, la date de modification, les droits d'accès, et plus encore.

Le risque provient de la capacité des archives à être extraites.

Lors de l'extraction, chaque élément nécessite un chemin de destination. Cet emplacement est créé en combinant le chemin de base avec le nom du fichier :

Une fois ce chemin créé, il est transmis aux fonctions tarfile.extract ou tarfile.extractall pour effectuer l'extraction :

Le problème ici est l'absence d'assainissement du nom de fichier. Un attaquant pourrait renommer des fichiers pour inclure des caractères de traversée de répertoire, tels que point point slash (../), ce qui forcerait le fichier à sortir du répertoire prévu et à écraser des fichiers arbitraires. Cela pourrait mener à une exécution de code à distance, une exploitation idéale pour un attaquant.

La vulnérabilité apparaît dans d'autres scénarios, si vous savez comment l'identifier. Outre la gestion des fichiers tar par Python, la vulnérabilité existe dans l'extraction de fichiers zip. Vous connaissez peut-être cela sous un autre nom, comme la vulnérabilité zip slip, qui s'est manifestée dans d'autres langages que Python !

LIEN VERS LA MISSION

Comment pouvez-vous atténuer les risques ?

Bien que la vulnérabilité soit connue depuis des années, les mainteneurs de Python considèrent que la fonctionnalité d'extraction fait ce qu'elle est censée faire. Dans ce cas, certains diraient « c'est une fonctionnalité, pas un bug ». Malheureusement, les développeurs ne peuvent pas toujours éviter d'extraire des fichiers tar ou zip provenant d'une source inconnue. Il leur appartient d'assainir les entrées non fiables pour prévenir les vulnérabilités de traversée de répertoire dans le cadre de pratiques de développement sécurisé.

Vous souhaitez en savoir plus sur l'écriture de code sécurisé et la réduction des risques avec Python ?

Essayez notre défi Python gratuitement.

Si vous souhaitez obtenir davantage de conseils de codage gratuits, consultez Secure Code Coach pour vous aider à maîtriser les pratiques de codage sécurisé.

‍

‍