Comprendre l'erreur de parcours de chemin dans le module tarfile de Python

Récemment, un groupe de chercheurs en sécurité a annoncé avoir découvert une faille vieille de quinze ans dans la fonctionnalité d'extraction des fichiers tar de Python. Cette vulnérabilité a été signalée pour la première fois en 2007 et référencée sous le numéro CVE-2007-4559. Une note a été ajoutée dans la documentation officielle de Python, mais la faille elle-même n'a pas été corrigée.

Cette vulnérabilité pourrait affecter des milliers de projets logiciels, mais beaucoup de personnes ne sont pas conscientes de la situation ou ne savent pas comment y remédier. C'est pourquoi, chez Security Code Warriors, nousvous offrons la possibilité de simuler vous-même l'exploitation de cette vulnérabilité afin de constater ses effets et de comprendre le mécanisme de cette erreur persistante, ce qui vous permettra de mieux protéger vos applications.

Veuillez essayer la simulation de mission dès maintenant.

Vulnérabilité : parcours de chemin lors de l'extraction d'un fichier tar

Lorsque des entrées utilisateur non vérifiées sont utilisées pour construire des chemins d'accès à des fichiers, cela peut entraîner un parcours de chemin ou de répertoire, permettant ainsi à un attaquant d'obtenir des privilèges d'accès, de remplacer des fichiers, voire d'exécuter du code arbitraire.

Cette vulnérabilité est présente dans le module tarfile de Python. Un fichier tar (archive sur bande) est un fichier unique appelé archive. Il regroupe plusieurs fichiers et leurs métadonnées, généralement identifiés par l'extension .tar.gz ou .tgz. Chaque élément de l'archive peut être représenté par un objet TarInfo contenant des métadonnées telles que le nom du fichier, la date de modification, le propriétaire, etc.

Le risque réside dans la possibilité de récupérer à nouveau les archives.

Lors de l'extraction, chaque membre doit indiquer un chemin d'accès. Cet emplacement est créé en combinant le chemin d'accès de base et le nom du fichier :

Une fois ce chemin créé, il sera transmis au fichier tarfile.extra. tarfile.extra ou tarfile.extall pour exécuter la fonction d'extraction :

Le problème ici est l'absence de nettoyage des noms de fichiers. Un attaquant pourrait renommer un fichier de manière à inclure des caractères de traversée de chemin, tels que des barres obliques inversées (../), ce qui permettrait au fichier de sortir du répertoire où il est censé se trouver et de remplacer n'importe quel fichier. Cela pourrait finalement conduire à l'exécution de code à distance, et le moment est venu d'exploiter cette faille.

Si vous savez comment identifier cette vulnérabilité, elle peut apparaître dans d'autres contextes. Outre le traitement des fichiers tar par Python, cette vulnérabilité existe également lorsde l'extraction de fichiers zip. Vous la connaissez peut-être sous un autre nom, tel que « vulnérabilité des fichiers compressés », qui a déjà été observée dans d'autres langages que Python.

Lien vers la tâche 

Comment réduire les risques ?

Bien que cette vulnérabilité soit connue depuis plusieurs années, les responsables de la maintenance de Python considèrent toujours que la fonctionnalité d'extraction fonctionne comme prévu. Dans ce contexte, certains pourraient affirmer qu'il s'agit d'une fonctionnalité et non d'un défaut. Malheureusement, les développeurs ne peuvent pas toujours éviter d'extraire des fichiers tar ou zip provenant de sources inconnues. Dans le cadre des pratiques de développement sécurisé, il est de leur responsabilité de nettoyer les entrées non fiables afin de prévenir les vulnérabilités de type « path traversal ».

Souhaitez-vous en savoir plus sur la manière d'écrire du code sécurisé et de réduire les risques avec Python ?

Nous vous invitons à essayer notre défi Python gratuit.

Si vous souhaitez obtenir davantage de guides de programmation gratuits, veuillez consulter le Code Coach pour la sécurité afin de vous familiariser avec les pratiques de codage sécurisé.

‍

‍