CVE-2026-53600

Nome do Software Vulnerável e Versões Afetadas async-tar versões 0.6.0 e anteriores

Descrição o async-tar aplica incorretamente uma extensão de size PAX bufferizada a um cabeçalho de extensão intermediário (como um GNU longname L, um GNU longlink K ou um cabeçalho PAX x/g) em vez de aplicá-la à entrada de arquivo subsequente. Isso ocorre porque a função poll next raw() em src/archive.rs incorpora registros PAX bufferizados no cálculo de tamanho do próximo cabeçalho bruto que ela lê, independentemente de esse cabeçalho ser ele mesmo uma extensão.

Esse comportamento permite que um invasor manipule o cursor do fluxo fornecendo uma sequência específica de x para L, fazendo com que o parser dessincronize em relação a parsers compatíveis com POSIX, como o GNU tar. Essa dessincronização possibilita o contrabando de conteúdo ou entradas, onde um scanner de segurança usando um parser de referência pode ver dados benignos enquanto o async-tar extrai um arquivo diferente e potencialmente malicioso (por exemplo, um script executável) do mesmo arquivo.

Recomendações Atualize o async-tar para a versão 0.6.1. Como mitigação temporária, restrinja a extração de arquivos tar de fontes não confiáveis usando a função poll next raw() em src/archive.rs até que a atualização seja aplicada.