[Security] tarfile.extractall without member validation in src/crate/testing/layer.py
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 2/5
- Tempo stimato
- 1-3 ore
- Idoneità per principianti
- 68/100
Direzione di ricerca
Inizia in src/crate/testing/layer.py e ispeziona la chiamata a tarfile.extractall() e i relativi chiamanti. Esamina la logica safe_extract proposta e verifica che i membri dell'archivio non possano scrivere al di fuori della directory di destinazione. Il lavoro è completato quando la vulnerabilità Bandit B202 è risolta senza interrompere il comportamento esistente dell'estrazione del layer.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Severity: HIGH (Bandit B202)
File: src/crate/testing/layer.py
Vulnerability
tarfile.extractall() without member validation allows path traversal (zip slip). A malicious archive can write files outside the target directory.
Fix
import os
SAFE_ID = __import__("re").compile(r"^[a-zA-Z0-9_.-]+$")
def _is_within_directory(directory, target):
abs_directory = os.path.realpath(directory)
abs_target = os.path.realpath(target)
return abs_target.startswith(abs_directory + os.sep) or abs_target == abs_directory
def safe_extract(tar, path=".", members=None, *, numeric_owner=False):
for member in tar.getmembers():
member_path = os.path.join(path, member.name)
if not _is_within_directory(path, member_path):
raise Exception(f"Path traversal in tar: {member.name}")
tar.extractall(path, members, numeric_owner=numeric_owner)
References
- CWE-22: Path Traversal
- Bandit B202
- OWASP: Zip Slip
- Lingua principale
- Python
- Stelle
- 85
- Fork
- 34
- Merge medio
- 3g 1h
- PR unite (30g)
- 4
Guida per i contributori
Apri la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di crate/crate-python
-
enhancement
crate/crate-python#833 · 1 assegnatario ·
-
bug
Difficoltà 4/5 3-5 giorni Idoneità per principianti 52/100
crate/crate-python#826 ·
-
Add async/asyncio support Aperta
Difficoltà 5/5 Più di una settimana Idoneità per principianti 25/100
crate/crate-python#820 · 1 commento ·
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100
crate/crate-python#751 · 7 commenti ·
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 35/100
crate/crate-python#729 · 1 commento ·
Tutte le issue di crate/crate-python
Issue simili
-
bug confirmed issue
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
open-webui/open-webui#30750 · 1 commento ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
-
enhancement
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
OpenwaterHealth/openmotion-bloodflow-app#604 · 1 commento ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
-
good first issue
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 90/100