Go archive/tar Old GNU Sparse Format DoS Vulnerability (CVE-2024-32288) Fix Analysis

脆弱性サマリー 脆弱性概要 この脆弱性（CVE-2024-32288）は、Go 言語の標準ライブラリ パッケージに存在します。古い GNU 稀疏フォーマット（old GNU sparse format）の tar ファイルをパースする際、プログラムが稀疏マップ（sparse maps）の最大サイズに対する制限を設定していないため、攻撃者は極大な稀疏マップを含む悪意のある tar ファイルを構築し、サーバーリソース（メモリまたは CPU）を枯渇させることで、サービス拒否（DoS）攻撃を引き起こすことができます。 影響範囲 コンポーネント: Go 標準ライブラリ パッケージ。 対象ファイル: および 。 修復方法 1. 稀疏マップのサイズ制限の設定: 拡張ブロック（extension blocks）の累積サイズに基づき、稀疏マップの最大サイズに対する制限を設定します。これは、他のフォーマットで稀疏マップのサイズを制限する場合と一貫した方法です。 2. エントリ数の総数制限: どのようにエンコードされていても、すべての稀疏フォーマットに対して、稀疏ファイルエントリの総数に対する追加の制限を設定します。 コード/POC スクリーンショットには具体的な POC コードや exploit コードは含まれておらず、修復ロジックの説明のみが示されています。コアとなる修復ロジックは以下の通りです： > 「古い GNU 稀疏フォーマットにおいて、sparse maps の最大サイズに対する制限を設定していませんでした。マップのエンコードに使用される拡張ブロックの累積サイズに基づいて制限を設定します（これは、他のフォーマットに対して sparse map のサイズを制限する際の手法と一貫性があります）。すべての稀疏フォーマットに対して、エンコード方法にかかわらず、sparse file entries の総数に対する追加の制限を追加します。」

目標達成 すべての支援者に感謝 — 100%達成しました！

Go archive/tar Old GNU Sparse Format DoS Vulnerability (CVE-2024-32288) Fix Analysis

目標達成すべての支援者に感謝 — 100%達成しました！