Se ha identificado una vulnerabilidad crítica denominada CVE-2025-62518, conocida como TARmageddon. Esta vulnerabilidad afecta a parsers TAR desarrollados en el lenguaje de programación Rust.
Vulnerabilidad y mecanismo
Permite a los atacantes insertar archivos adicionales sin ser detectados. Puede facilitar la ejecución remota de código (RCE) y ataques en cadena de suministro. La vulnerabilidad impacta a varias librerías ampliamente utilizadas para el manejo de archivos TAR, como Async-tar y sus forks, incluido Tokio-tar.
Detalles técnicos
Fue reportada por Edera. La gestión incorrecta de cabeceras en archivos TAR anidados permite manipular el contenido durante la extracción. La vulnerabilidad se basa en una desincronización en los parsers TAR.
Cuando un archivo contiene cabeceras PAX y ustar con tamaños incoherentes, especialmente si la cabecera ustar indica tamaño cero, el parser no avanza correctamente el punto de lectura sobre los datos. Los datos de un archivo incrustado se interpreten como parte del nivel superior, facilitando la inserción de archivos adicionales.
Riesgos y impacto
Esta vulnerabilidad puede usarse para ejecutar código remoto (RCE) y sobrescribir archivos. Proyectos que desempaquetan archivos TAR sin validación adicional son especialmente afectados. Las bibliotecas afectadas tienen millones de descargas.
Su explotación podría formar parte de ataques a la cadena de suministro, exponiendo miles de aplicaciones.
Recomendaciones y mitigaciones
Se recomienda cambiar a forks corregidos como Astral-tokio-tar 0.5.6 o Krata-tokio-tar. Si no es posible, se sugiere modificar los parsers para que prioricen cabeceras PAX al determinar tamaños y validar la consistencia de las cabeceras.
Implementar verificaciones de límites estrictos puede ayudar a prevenir la inyección de archivos no autorizados. TARmageddon reitera que el uso de lenguajes modernos como Rust no garantiza infalibilidad.
La falta de mantenimiento en librerías esenciales puede exponer a toda la cadena de dependencias a riesgos críticos. Adoptar librerías mantenidas y reforzar validaciones en la manipulación de archivos TAR son acciones imprescindibles.