astral-tokio-tar: контрабанда файлов в архив через рассинхрон PAX-заголовков

В крейте astral-tokio-tar до версии 0.5.6 найдена уязвимость разбора границ, позволяющая злоумышленнику добавить скрытые записи в архив.

Механика

При обработке архивов с PAX-расширенными заголовками, содержащими переопределение размера, парсер неверно продвигал позицию потока на основе размера из ustar-заголовка — часто нулевого. Это рассинхронизировало разбор и позволяло провести дополнительные записи мимо проверок. Исправлено в 0.5.6.

Оригинал

RUSTSEC-2025-0110