CVE-2007-4559
KrytyczneStreszczenie
Podatność na przejście do katalogu w funkcjach extract i extractall modułu tarfile w Pythonie umożliwia zdalnym atakującym, przy pomocy użytkownika, nadpisanie dowolnych plików poprzez sekwencję .. (kropka kropka) w nazwach plików w archiwum TAR.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do nadpisania krytycznych plików na serwerze, co może prowadzić do utraty danych lub naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację Pythona do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie użycia funkcji extract i extractall w aplikacjach korzystających z modułu tarfile.
Oryginalny opis (angielski, źródło NVD)
Directory traversal vulnerability in the (1) extract and (2) extractall functions in the tarfile module in Python allows user-assisted remote attackers to overwrite arbitrary files via a .. (dot dot) sequence in filenames in a TAR archive, a related issue to CVE-2001-1267.