Comprendre le bogue de traversée de chemin dans le module tarfile de Python

Récemment, une équipe de chercheurs en sécurité a annoncé la découverte d'un bogue vieux de quinze ans dans la fonctionnalité d'extraction de fichiers tar de Python. La vulnérabilité a été révélée pour la première fois en 2007 et suivie comme CVE-2007-4559. Une note a été ajoutée à la documentation officielle de Python, mais le bogue lui-même n'a pas été corrigé.

Cette vulnérabilité pourrait affecter des milliers de projets logiciels, mais de nombreuses personnes ne sont pas conscientes de la situation ni de la manière de la gérer. C'est pourquoi, ici chez Secure Code Warrior, nous vous offrons la possibilité de simuler vous-même l'exploitation de cette vulnérabilité afin d'en constater l'impact de première main et d'acquérir une expérience pratique des mécanismes de ce bogue persistant, dans le but de mieux protéger votre application.

Veuillez essayer la simulation Mission dès maintenant.

La vulnérabilité : traversée de chemins lors de l'extraction du fichier tar

La traversée de chemin ou de répertoire se produit lorsqu'une entrée utilisateur non nettoyée est utilisée pour créer un chemin de fichier, ce qui permet à un attaquant d'accéder à des fichiers et de les remplacer, et même d'exécuter du code arbitraire.

La vulnérabilité est présente dans le module Python goudron. Un fichier tar (archive sur bande) est un fichier unique, appelé archive. Il regroupe plusieurs fichiers avec leurs métadonnées et est généralement reconnu par le fait qu'il porte l'extension .tar.gz ou .tgz. Chaque membre de l'archive peut être représenté par un objet Informations sur les étoiles, qui contient des métadonnées, telles que le nom du fichier, l'heure de modification, la propriété, etc.

Le risque découle de la possibilité que les archives soient à nouveau extraites.

Lors de l'extraction, chaque membre a besoin d'un emplacement où enregistrer ses fichiers. Cet emplacement est créé en joignant le chemin de base au nom du fichier :

Une fois ce chemin créé, il est transmis au tarfile.extract ou tarfile.extractall fonctions afin de procéder à l'extraction :

Le problème ici est l'absence de nettoyage du nom de fichier. Un attaquant pourrait renommer les fichiers pour inclure des caractères de traversée de chemin, tels que point barre oblique (../), ce qui ferait sortir le fichier du répertoire dans lequel il était censé se trouver et remplacerait des fichiers arbitraires. Cela pourrait éventuellement conduire à l'exécution de code à distance, ce qui est susceptible d'être exploité.

La vulnérabilité peut également apparaître dans d'autres scénarios, si vous savez comment l'identifier. Outre la gestion des fichiers tar par Python, la vulnérabilité existe également dans l'extraction de fichiers zip. Vous la connaissez peut-être sous un autre nom, tel que la vulnérabilité Zip Slip, qui s'est manifestée dans d'autres langages que Python.

Lien vers la mission 

Comment pouvez-vous réduire les risques ?

Bien que la vulnérabilité soit connue depuis des années, les responsables de Python considèrent que la fonctionnalité d'extraction fonctionne comme prévu. Dans ce cas, certains peuvent affirmer « c'est une fonctionnalité, pas un bogue ». Malheureusement, les développeurs ne peuvent pas toujours éviter d'extraire des fichiers tar ou zip d'une source inconnue. Il leur incombe de nettoyer les entrées non fiables afin d'éviter les vulnérabilités liées au traversage des chemins dans le cadre de pratiques de développement sécurisées.

Souhaitez-vous en savoir plus sur la manière d'écrire du code sécurisé et d'atténuer les risques avec Python ?

Veuillez essayer notre Défi Python gratuit.

Si vous souhaitez obtenir davantage de directives de codage gratuites, veuillez consulter Coach de code sécurisé pour vous aider à rester informé des pratiques de codage sécurisées.

‍

‍