PT-2025-23607
CVE-2024-12718
·
تاريخ النشر
2025-06-03
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 4.0
10
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Python من 3.12 إلى 3.13
الوصف
توجد مشكلة في وحدة
tarfile عند استخراج أرشيفات tar غير موثوق بها. عند استخدام الدالتين TarFile.extractall() أو TarFile.extract() مع تعيين المعلمة filter إلى data أو tar، من الممكن تعديل بيانات تعريف الملف (مثل وقت آخر تعديل) أو أذونات الملف (chmod) للملفات الموجودة خارج دليل الاستخراج المقصود. في Python 3.14 والإصدارات الأحدث، تغيرت القيمة الافتراضية للمعلمة filter إلى data، مما يجعل المستخدمين الذين يعتمدون على هذا السلوك الافتراضي عرضة لهذه المشكلة. وقد يؤدي ذلك إلى تعديل الملفات بشكل تعسفي على النظام وفقدان محتمل للبيانات.التوصيات
قم بتحديث Python 3.12 إلى الإصدار 3.12.7-1ubuntu2.2 أو أحدث.
قم بتحديث Python 3.13 إلى الإصدار 3.13.0-1ubuntu0.3 أو أحدث.
كحل مؤقت، تجنب استخدام المعلمة
filter بالقيم data أو tar عند استخراج الأرشيفات غير الموثوق بها باستخدام TarFile.extractall() أو TarFile.extract().قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾