tar-slip в крейте decompress: распаковка пишет файлы вне каталога, исправлений нет

В крейте decompress уязвимость типа tar-slip: при распаковке архивов tp-семейства записи пишутся без проверки обхода пути и могут выйти за пределы целевого каталога. Оценка CVSS 7.1, выпущено 3 октября 2026 года, исправленной версии нет.

Суть

Функция decompress::decompress (версии до 0.6.0 включительно) извлекает записи архива, не проверяя пути на относительные переходы вверх (например, ../). Архив, в котором есть злонамеренно сформированное имя файла, может записать данные в произвольное место, доступное процессу распаковки.

Вектор

Атака локальная, без прав; требуется, чтобы жертва распаковала непроверенный архив. Интеграция с такими «распаковщиками» составляет типичный риск для приложений, принимающих архивы извне.

Что делать

На момент выпуска бюллетеня патча нет — библиотека остаётся уязвимой. При использовании decompress стоит валидировать пути записей до извлечения либо переходить на библиотеки с проверкой обхода пути.

Оригинал

tar-family extractors write archive entries without a path-traversal check (tar-slip).