{"id":29350,"date":"2022-10-11T14:35:13","date_gmt":"2022-10-11T12:35:13","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=29350"},"modified":"2022-10-11T14:35:13","modified_gmt":"2022-10-11T12:35:13","slug":"tarfile-15-year-old-vulnerability","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/tarfile-15-year-old-vulnerability\/29350\/","title":{"rendered":"Die Gefahren 15 Jahre alter Schwachstellen"},"content":{"rendered":"

Im September 2022 ver\u00f6ffentlichte Trellix einen Bericht<\/a> \u00fcber eine Sicherheitsl\u00fccke im tarfile<\/a>-Modul, das Teil einer Standardbibliothek f\u00fcr die Programmiersprache Python ist und von jedermann verwendet werden kann. Die Schwachstelle erlaubt es, eine beliebige Datei in einen beliebigen Ordner auf der Festplatte zu schreiben und in einigen F\u00e4llen auch Schadcode auszuf\u00fchren. Was diese Studie so interessant macht, ist die Tatsache, dass das Problem in tarfile bereits im August 2007 entdeckt<\/a> wurde \u2013 also vor etwas mehr als 15 Jahren! Damals wurde ihm jedoch keine Aufmerksamkeit geschenkt. Wir wollen herausfinden, warum das so war und welche Probleme sich f\u00fcr Python-Entwickler und ihre Benutzer daraus ergeben k\u00f6nnten.<\/p>\n

Mehr \u00fcber tarfile<\/h2>\n

Tarfile enth\u00e4lt Code zum Umgang mit tar<\/a>-Archiven. Dieses Format ist in Unix-\u00e4hnlichen Betriebssystemen weit verbreitet und stammt aus dem Jahr 1979. Mit tar lassen sich gro\u00dfe Mengen von Dateien und Ordnern leicht packen. Urspr\u00fcnglich wurde es zum Schreiben von Backups auf Magnetband verwendet. Heutzutage k\u00f6nnen tar-Archive eine Dateikomprimierung verwenden, die jedoch optional ist. Tarfile ist f\u00fcr die Erstellung und Dekomprimierung solcher Archive zust\u00e4ndig und wird von Python-Entwicklern als Standardwerkzeug f\u00fcr solche Aufgaben verwendet.<\/p>\n

Die Sicherheitsl\u00fccke in tarfile ist recht simpel und wurde im urspr\u00fcnglichen Fehlerbericht<\/a> vom August 2007 ausf\u00fchrlich beschrieben. Dabei handelt es sich nicht einmal um eine Schwachstelle im eigentlichen Sinne, sondern nur darum, dass tarfile beim Entpacken die exakte Ordnerstruktur wiederherstellt, die beim Entpacken im Archiv enthalten ist. Dies gilt auch f\u00fcr F\u00e4lle, in denen der Dateiname im Archiv folgende Struktur hat: \u201e..\/..\/..\/..\/etc\/passwd\u201c. Wenn ein solches Archiv als Systemadministrator entpackt wird, wird die Datei passwd<\/em> nicht in das Verzeichnis geschrieben, in dem sich das Archiv selbst befindet. Beim Durchlaufen der \/..\/-Elemente im Pfad erreicht der Entpacker zun\u00e4chst das Stammverzeichnis und \u00fcberschreibt dann die passwd-Datei im \/etc-Verzeichnis. Unter Linux bedeutet dies, dass die regul\u00e4re Datei mit den Daten aller Systembenutzer gel\u00f6scht wird.<\/p>\n

Die Gefahr dabei ist, dass Benutzer von Programmen, die das tarfile-Modul verwenden, nicht wissen, wie das normale Entpacken eines Archivs endet. Entweder es passiert nichts oder Dateien erscheinen pl\u00f6tzlich an unerwarteten Stellen. Au\u00dferdem k\u00f6nnen einige benutzerdefinierte Dateien \u00fcberschrieben werden. Die Autoren des Fehlerberichts verweisen auf genau dieses Problem in der tar-Archivierungssoftware selbst, das bereits 2001, also vor mehr als 20 Jahren, behoben wurde. Allerdings wurde die Sicherheitsl\u00fccke in tarfile nie geschlossen.<\/p>\n

Jahrelanges Warten<\/h2>\n

Nach einer Diskussion<\/a> \u00fcber den potenziellen Bug im Jahr 2007 wurde letztendlich beschlossen, nichts zu unternehmen, und zwar aus zwei Gr\u00fcnden. Erstens ist eine solche Dateiverarbeitung in voller \u00dcbereinstimmung mit dem Unix-POSIX-Standard (wir k\u00f6nnen das best\u00e4tigen). Zweitens \u201egibt es in der Praxis keine Exploit-M\u00f6glichkeit\u201c. Eine Warnung im Benutzerhandbuch, dass es nicht ratsam ist, Dateien aus nicht vertrauensw\u00fcrdigen Quellen mit tarfile zu entpacken, wurde als ausreichend angesehen.<\/p>\n

Diese Einsch\u00e4tzung wurde 2022 widerlegt, als Trellix zeigte, dass ein Exploit in der Praxis mehr als m\u00f6glich ist. Und zwar nicht nur, um Daten an beliebige Stellen zu schreiben, sondern auch, um beliebigen Code auszuf\u00fchren. Bedenken Sie erneut, dass es sich hierbei um eine Bibliothek f\u00fcr Programmierer handelt, d. h. die M\u00f6glichkeit eines Angriffs h\u00e4ngt von der spezifischen Software ab, in der das tarfile-Modul verwendet wird. Trellix nannte zwei Beispiele.<\/p>\n

\"\"

Teil des verwundbaren Codes in Universal Radio Hacker. Quelle<\/a>.<\/p><\/div>\n

\u00a0<\/p>\n

Das erste ist Universal Radio Hacker<\/a>, ein Programm zur Analyse von unbekannten Funkprotokollen. Das Programm speichert Daten als ein Projekt, das aus mehreren tar-komprimierten Dateien besteht. Die Forscher haben nachgewiesen, dass eine ausf\u00fchrbare Datei in das Windows-Auto-Run-Verzeichnis geschrieben wird, wenn versucht wird, das vorgefertigte komprimierte Archiv zu \u00f6ffnen. Beim n\u00e4chsten Neustart des Systems wird dieser Code dann ausgef\u00fchrt. Diese Schwachstelle kann u.a. auf verschiedenen Plattformen ausgenutzt werden.<\/p>\n