modern-tar TAR encoding/decoding vulnerability analysis and fix guidelines

脆弱性の概要 このウェブページのスクリーンショットは、 というプロジェクトの ファイルを示しており、主に TAR ファイル形式のエンコードおよびデコード操作に関連しています。このファイルには、文字列と数値のエンコード・デコードを処理するための複数の関数が含まれており、特に TAR ファイル内のフィールドを対象としています。 影響範囲 影響範囲：このファイル内のエンコードおよびデコード関数は、TAR ファイルの正しい解析および生成に影響を与える可能性があります。これらの関数に脆弱性が存在する場合、TAR ファイルの内容が誤って解析または生成され、データの安全性および完全性に影響を及ぼす恐れがあります。 修正方案 修正方案： 1. 文字列エンコード： 関数が Unicode 文字を適切に処理し、切り捨てや誤ったエンコードを回避することを確認します。 2. 数値エンコード： および 関数が数値を適切に処理し、オーバーフローや誤ったフォーマットを回避することを確認します。 3. 文字列デコード： 関数が null 終端の文字列を正しく読み取り、範囲外のデータを読み込まないことを確認します。 4. 数値デコード： および 関数が数値を正しく解析し、解析エラーやオーバーフローを回避することを確認します。 POC コードまたは攻撃コード ページ内に具体的な POC コードまたは攻撃コードは含まれていません。 typescript export function writeString( view: Uint8Array, offset: number, size: number, value: string ): void { if (!value) return; // ASCII は直接コピーしますが、Unicode の切り捨ては TextEncoder に委ねます。 for (let i = 0; i 0x7F) { if (charCode > 0xFF) { return; } view[offset + i] = charCode; } } } typescript export function writeNumberOctal( view: Uint8Array, offset: number, size: number, value: number ): void { if (value === undefined) return; // TAR の数値フィールドは、最終バイトが NUL で終わるゼロパディング済み ASCII 8 進数です。 // 最適化として、パディングされた文字列をエンコードするのではなく、右から左へ数字を埋めます。 let remaining = value; for (let i = offset + size - 2; i >= offset; i--) { view[i] = 48 + (remaining % 8); // 48 は ASCII '0' remaining = Math.floor(remaining / 8); } if (remaining === 0 && value % 1 === 0) return; // 残りの数字がある場合、または値が整数でない場合は、以前のフォーマッタを使用します。 // TAR のオーバーフローの場合でも、基本ヘッダーには互換性のあるプレースホルダバイトが必要です。 encoder.encodeInto( value.toString(8).padStart(size - 1, "0"), view.subarray(offset, offset + size - 1) ); } typescript export function readString( view: Uint8Array, offset: number, size: number ): string { if (view[offset] === 0) return ""; // 指定されたサイズ範囲内で最初の NUL バイトを検出します。 const end = view.indexOf(0, offset); // NUL が検出されない場合は、全サイズ分を読み取ります。 const sliceEnd = end === -1 return decoder.decode(view.subarray(offset, sliceEnd)); } typescript export function readNumberOctal( view: Uint8Array, offset: number, size: number ): number { let value = 0; const end = offset + size; for (let i = offset; i = 128）、 // 数値はビッグエンディアン形式の基数 256 で保存されます。 // & 0x80 操作は、最上位ビットがセットされているかどうかを確認するためのビットマスクです。 if (view[offset] & 0x80) { let result = 0; // 最初のバイトは最上位ビットがセットされており、マーカーとして機能します。 // その値を取得するために、このビットをマスクアウトします（0x7F = 01111111）。 result = view[offset] & 0x7F; // 残りのバイトを処理します。 for (let i = 1; i < size; i++) { result = result 256 + view[offset + i]; } if (!Number.isSafeInteger(result)) throw new Error("TAR number too large"); return result; } return readNumberOctal(view, offset, size); }

目標達成すべての支援者に感謝 — 100%達成しました！

modern-tar TAR encoding/decoding vulnerability analysis and fix guidelines

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

modern-tar TAR encoding/decoding vulnerability analysis and fix guidelines

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！