[Security] tarfile.extractall without member validation in src/crate/testing/layer.py
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 2/5
- Tiempo estimado
- 1-3 horas
- Aptitud para principiantes
- 68/100
Línea de trabajo
Comienza en src/crate/testing/layer.py e inspecciona la llamada a tarfile.extractall() y sus llamadores. Revisa la lógica propuesta de safe_extract y verifica que los miembros del archivo no puedan escribir fuera del directorio de destino. Se considera terminado cuando la vulnerabilidad Bandit B202 está corregida sin romper el comportamiento existente de extracción de capas.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Severity: HIGH (Bandit B202)
File: src/crate/testing/layer.py
Vulnerability
tarfile.extractall() without member validation allows path traversal (zip slip). A malicious archive can write files outside the target directory.
Fix
import os
SAFE_ID = __import__("re").compile(r"^[a-zA-Z0-9_.-]+$")
def _is_within_directory(directory, target):
abs_directory = os.path.realpath(directory)
abs_target = os.path.realpath(target)
return abs_target.startswith(abs_directory + os.sep) or abs_target == abs_directory
def safe_extract(tar, path=".", members=None, *, numeric_owner=False):
for member in tar.getmembers():
member_path = os.path.join(path, member.name)
if not _is_within_directory(path, member_path):
raise Exception(f"Path traversal in tar: {member.name}")
tar.extractall(path, members, numeric_owner=numeric_owner)
References
- CWE-22: Path Traversal
- Bandit B202
- OWASP: Zip Slip
- Lenguaje dominante
- Python
- Estrellas
- 85
- Forks
- 34
- Merge medio
- 3 d 1 h
- PR fusionados (30 d)
- 4
Guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de crate/crate-python
-
enhancement
crate/crate-python#833 · 1 asignado ·
-
bug
Dificultad 4/5 3-5 días Aptitud para principiantes 52/100
crate/crate-python#826 ·
-
Add async/asyncio support Abierto
Dificultad 5/5 Más de una semana Aptitud para principiantes 25/100
crate/crate-python#820 · 1 comentario ·
-
Dificultad 5/5 Más de una semana Aptitud para principiantes 35/100
crate/crate-python#751 · 7 comentarios ·
-
Dificultad 3/5 1-2 días Aptitud para principiantes 35/100
crate/crate-python#729 · 1 comentario ·
Todos los issues de crate/crate-python
Issues similares
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
stephrobert/dsoxlab#238 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
sublimehq/package_control#1780 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
nwg-piotr/nwg-displays#145 ·