Pythonのtarfileモジュールパトラバーサバグキンクー
Kürzlich gab ein Team von Sicherheitsforschern bekannt, dass es einen 15 Jahre alten Fehler in der Tar-Datei-Extraktionsfunktion von Python gefunden hat. Diese Schwachstelle wurde erstmals 2007 veröffentlicht und unter der Nummer CVE-2007-4559verfolgt. Obwohl ein Hinweis in die offizielle Python-Dokumentation aufgenommen wurde, blieb der Fehler selbst ungepatcht.
Diese Schwachstelle kann Tausende von Softwareprojekten betreffen, doch viele Menschen sind mit der Situation und den Gegenmaßnahmen nicht vertraut. Aus diesem Grund bietet Secure Code WarriorIhnen die Möglichkeit, die Ausnutzung dieser Schwachstelle selbst zu simulieren, die Auswirkungen direkt zu überprüfen und die Funktionsweise dieses hartnäckigen Fehlers hautnah zu erleben. Auf diese Weise können Sie den Schutz Ihrer Anwendungen verbessern.
Simulieren wir es. Mission jetzt.
Vulnerability: Path traversal during tar file extraction
Eine Pastraversal- oder Verzeichnis-Traversal-Sicherheitslücke tritt auf, wenn Dateipfade unter Verwendung nicht bereinigter Benutzereingaben erstellt werden. Dadurch können Angreifer auf Dateien zugreifen, diese überschreiben oder beliebigen Code ausführen.
Diese Schwachstelle besteht in Python im tar-Modul. Eine tar-Datei (Tape Archive) ist eine einzelne Datei, die als Archiv bezeichnet wird. Sie enthält mehrere Dateien und deren Metadaten in einem Paket und hat in der Regel die Erweiterung tar.gz oder tgz. Jedes Element im Archiv ist ein TAR-Informationsobjekt, das Metadaten wie Dateiname, Änderungszeitpunkt und Eigentumsrechte enthält.
Das Risiko besteht darin, dass das Archiv erneut extrahiert werden kann.
Beim Extrahieren ist ein Schreibpfad für alle Mitglieder erforderlich. Dieser Pfad wird durch die Kombination des Basispfads und des Dateinamens erstellt.
このパスが作成されると、に渡されます tar-Datei. Extrahieren oder tar-Datei. Alle extrahieren Funktion zum Ausführen der Extraktion:
Das Problem hierbei ist, dass die Dateinamen nicht saniert werden. Angreifer könnten die Dateinamen so ändern, dass sie Pfadüberschreitungszeichen enthalten, wie z. B. Doppelpunkt-Doppelpunkt-Schrägstrich (../). Dadurch werden die Dateien aus ihrem ursprünglichen Verzeichnis verschoben und überschreiben beliebige Dateien. Dies führt letztendlich dazu, dass Code aus der Ferne ausgeführt und leicht missbraucht werden kann.
Die Schwachstelle tritt auch in anderen Szenarien auf, wenn bestimmte Methoden bekannt sind. Zusätzlich zur Verarbeitung von tar-Dateien mit Python betrifft diese Schwachstelle auch das Extrahieren von zip-Dateien. Dies ist möglicherweise auch unter einem anderen Namen bekannt. Beispielsweise wurde die Zip-Slipp-Schwachstelle auch in anderen Sprachen als Pythonentdeckt!
Wie kann man das Risiko verringern?
Diese Schwachstelle ist seit Jahren bekannt, aber die Python-Maintainer erwarten, dass die extrahierende Funktion das tut, was sie tun soll. In diesem Fall könnten einige sagen, dass es sich nicht um einen Fehler, sondern um eine Funktion handelt. Leider können Entwickler nicht immer vermeiden, tar- oder zip-Dateien aus unbekannten Quellen zu extrahieren. Als Teil sicherer Entwicklungspraktiken liegt es in der Verantwortung der Entwickler, nicht vertrauenswürdige Eingaben zu sanieren und so eine Path-Traversal-Schwachstelle zu verhindern.
Möchten Sie mehr darüber erfahren, wie Sie mit Python sicheren Code schreiben und Risiken minimieren können?
Probieren Sie uns aus mit unserer kostenlosen Python-Challenge.
Wenn Sie weitere kostenlose Codierungsrichtlinien erhalten möchten, schauen Sie sich Secure Code Coach an. Es hilft Ihnen dabei, stets über sichere Codierungsmethoden informiert zu bleiben.
Heute ist es 15 Jahre her, dass Python in Pacific Park einen Fehler hatte. Im Herbst 2007 wurde dies in der Zeitung unter der Nummer CVE-2007-4559 veröffentlicht. Python lebt weiter.
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
デモを予約
Laura Verheyde ist Softwareentwicklerin bei Secure Code Warrior und konzentriert sich auf die Untersuchung von Schwachstellen und die Erstellung von Inhalten für Mission Labs und Coding Labs.
Kürzlich gab ein Team von Sicherheitsforschern bekannt, dass es einen 15 Jahre alten Fehler in der Tar-Datei-Extraktionsfunktion von Python gefunden hat. Diese Schwachstelle wurde erstmals 2007 veröffentlicht und unter der Nummer CVE-2007-4559verfolgt. Obwohl ein Hinweis in die offizielle Python-Dokumentation aufgenommen wurde, blieb der Fehler selbst ungepatcht.
Diese Schwachstelle kann Tausende von Softwareprojekten betreffen, doch viele Menschen sind mit der Situation und den Gegenmaßnahmen nicht vertraut. Aus diesem Grund bietet Secure Code WarriorIhnen die Möglichkeit, die Ausnutzung dieser Schwachstelle selbst zu simulieren, die Auswirkungen direkt zu überprüfen und die Funktionsweise dieses hartnäckigen Fehlers hautnah zu erleben. Auf diese Weise können Sie den Schutz Ihrer Anwendungen verbessern.
Simulieren wir es. Mission jetzt.
Vulnerability: Path traversal during tar file extraction
Eine Pastraversal- oder Verzeichnis-Traversal-Sicherheitslücke tritt auf, wenn Dateipfade unter Verwendung nicht bereinigter Benutzereingaben erstellt werden. Dadurch können Angreifer auf Dateien zugreifen, diese überschreiben oder beliebigen Code ausführen.
Diese Schwachstelle besteht in Python im tar-Modul. Eine tar-Datei (Tape Archive) ist eine einzelne Datei, die als Archiv bezeichnet wird. Sie enthält mehrere Dateien und deren Metadaten in einem Paket und hat in der Regel die Erweiterung tar.gz oder tgz. Jedes Element im Archiv ist ein TAR-Informationsobjekt, das Metadaten wie Dateiname, Änderungszeitpunkt und Eigentumsrechte enthält.
Das Risiko besteht darin, dass das Archiv erneut extrahiert werden kann.
Beim Extrahieren ist ein Schreibpfad für alle Mitglieder erforderlich. Dieser Pfad wird durch die Kombination des Basispfads und des Dateinamens erstellt.
このパスが作成されると、に渡されます tar-Datei. Extrahieren oder tar-Datei. Alle extrahieren Funktion zum Ausführen der Extraktion:
Das Problem hierbei ist, dass die Dateinamen nicht saniert werden. Angreifer könnten die Dateinamen so ändern, dass sie Pfadüberschreitungszeichen enthalten, wie z. B. Doppelpunkt-Doppelpunkt-Schrägstrich (../). Dadurch werden die Dateien aus ihrem ursprünglichen Verzeichnis verschoben und überschreiben beliebige Dateien. Dies führt letztendlich dazu, dass Code aus der Ferne ausgeführt und leicht missbraucht werden kann.
Die Schwachstelle tritt auch in anderen Szenarien auf, wenn bestimmte Methoden bekannt sind. Zusätzlich zur Verarbeitung von tar-Dateien mit Python betrifft diese Schwachstelle auch das Extrahieren von zip-Dateien. Dies ist möglicherweise auch unter einem anderen Namen bekannt. Beispielsweise wurde die Zip-Slipp-Schwachstelle auch in anderen Sprachen als Pythonentdeckt!
Wie kann man das Risiko verringern?
Diese Schwachstelle ist seit Jahren bekannt, aber die Python-Maintainer erwarten, dass die extrahierende Funktion das tut, was sie tun soll. In diesem Fall könnten einige sagen, dass es sich nicht um einen Fehler, sondern um eine Funktion handelt. Leider können Entwickler nicht immer vermeiden, tar- oder zip-Dateien aus unbekannten Quellen zu extrahieren. Als Teil sicherer Entwicklungspraktiken liegt es in der Verantwortung der Entwickler, nicht vertrauenswürdige Eingaben zu sanieren und so eine Path-Traversal-Schwachstelle zu verhindern.
Möchten Sie mehr darüber erfahren, wie Sie mit Python sicheren Code schreiben und Risiken minimieren können?
Probieren Sie uns aus mit unserer kostenlosen Python-Challenge.
Wenn Sie weitere kostenlose Codierungsrichtlinien erhalten möchten, schauen Sie sich Secure Code Coach an. Es hilft Ihnen dabei, stets über sichere Codierungsmethoden informiert zu bleiben.
Kürzlich gab ein Team von Sicherheitsforschern bekannt, dass es einen 15 Jahre alten Fehler in der Tar-Datei-Extraktionsfunktion von Python gefunden hat. Diese Schwachstelle wurde erstmals 2007 veröffentlicht und unter der Nummer CVE-2007-4559verfolgt. Obwohl ein Hinweis in die offizielle Python-Dokumentation aufgenommen wurde, blieb der Fehler selbst ungepatcht.
Diese Schwachstelle kann Tausende von Softwareprojekten betreffen, doch viele Menschen sind mit der Situation und den Gegenmaßnahmen nicht vertraut. Aus diesem Grund bietet Secure Code WarriorIhnen die Möglichkeit, die Ausnutzung dieser Schwachstelle selbst zu simulieren, die Auswirkungen direkt zu überprüfen und die Funktionsweise dieses hartnäckigen Fehlers hautnah zu erleben. Auf diese Weise können Sie den Schutz Ihrer Anwendungen verbessern.
Simulieren wir es. Mission jetzt.
Vulnerability: Path traversal during tar file extraction
Eine Pastraversal- oder Verzeichnis-Traversal-Sicherheitslücke tritt auf, wenn Dateipfade unter Verwendung nicht bereinigter Benutzereingaben erstellt werden. Dadurch können Angreifer auf Dateien zugreifen, diese überschreiben oder beliebigen Code ausführen.
Diese Schwachstelle besteht in Python im tar-Modul. Eine tar-Datei (Tape Archive) ist eine einzelne Datei, die als Archiv bezeichnet wird. Sie enthält mehrere Dateien und deren Metadaten in einem Paket und hat in der Regel die Erweiterung tar.gz oder tgz. Jedes Element im Archiv ist ein TAR-Informationsobjekt, das Metadaten wie Dateiname, Änderungszeitpunkt und Eigentumsrechte enthält.
Das Risiko besteht darin, dass das Archiv erneut extrahiert werden kann.
Beim Extrahieren ist ein Schreibpfad für alle Mitglieder erforderlich. Dieser Pfad wird durch die Kombination des Basispfads und des Dateinamens erstellt.
このパスが作成されると、に渡されます tar-Datei. Extrahieren oder tar-Datei. Alle extrahieren Funktion zum Ausführen der Extraktion:
Das Problem hierbei ist, dass die Dateinamen nicht saniert werden. Angreifer könnten die Dateinamen so ändern, dass sie Pfadüberschreitungszeichen enthalten, wie z. B. Doppelpunkt-Doppelpunkt-Schrägstrich (../). Dadurch werden die Dateien aus ihrem ursprünglichen Verzeichnis verschoben und überschreiben beliebige Dateien. Dies führt letztendlich dazu, dass Code aus der Ferne ausgeführt und leicht missbraucht werden kann.
Die Schwachstelle tritt auch in anderen Szenarien auf, wenn bestimmte Methoden bekannt sind. Zusätzlich zur Verarbeitung von tar-Dateien mit Python betrifft diese Schwachstelle auch das Extrahieren von zip-Dateien. Dies ist möglicherweise auch unter einem anderen Namen bekannt. Beispielsweise wurde die Zip-Slipp-Schwachstelle auch in anderen Sprachen als Pythonentdeckt!
Wie kann man das Risiko verringern?
Diese Schwachstelle ist seit Jahren bekannt, aber die Python-Maintainer erwarten, dass die extrahierende Funktion das tut, was sie tun soll. In diesem Fall könnten einige sagen, dass es sich nicht um einen Fehler, sondern um eine Funktion handelt. Leider können Entwickler nicht immer vermeiden, tar- oder zip-Dateien aus unbekannten Quellen zu extrahieren. Als Teil sicherer Entwicklungspraktiken liegt es in der Verantwortung der Entwickler, nicht vertrauenswürdige Eingaben zu sanieren und so eine Path-Traversal-Schwachstelle zu verhindern.
Möchten Sie mehr darüber erfahren, wie Sie mit Python sicheren Code schreiben und Risiken minimieren können?
Probieren Sie uns aus mit unserer kostenlosen Python-Challenge.
Wenn Sie weitere kostenlose Codierungsrichtlinien erhalten möchten, schauen Sie sich Secure Code Coach an. Es hilft Ihnen dabei, stets über sichere Codierungsmethoden informiert zu bleiben.
Klicken Sie auf den folgenden Link, um die PDF-Datei dieser Ressource herunterzuladen.
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
Bericht anzeigenデモを予約
Laura Verheyde ist Softwareentwicklerin bei Secure Code Warrior und konzentriert sich auf die Untersuchung von Schwachstellen und die Erstellung von Inhalten für Mission Labs und Coding Labs.
Kürzlich gab ein Team von Sicherheitsforschern bekannt, dass es einen 15 Jahre alten Fehler in der Tar-Datei-Extraktionsfunktion von Python gefunden hat. Diese Schwachstelle wurde erstmals 2007 veröffentlicht und unter der Nummer CVE-2007-4559verfolgt. Obwohl ein Hinweis in die offizielle Python-Dokumentation aufgenommen wurde, blieb der Fehler selbst ungepatcht.
Diese Schwachstelle kann Tausende von Softwareprojekten betreffen, doch viele Menschen sind mit der Situation und den Gegenmaßnahmen nicht vertraut. Aus diesem Grund bietet Secure Code WarriorIhnen die Möglichkeit, die Ausnutzung dieser Schwachstelle selbst zu simulieren, die Auswirkungen direkt zu überprüfen und die Funktionsweise dieses hartnäckigen Fehlers hautnah zu erleben. Auf diese Weise können Sie den Schutz Ihrer Anwendungen verbessern.
Simulieren wir es. Mission jetzt.
Vulnerability: Path traversal during tar file extraction
Eine Pastraversal- oder Verzeichnis-Traversal-Sicherheitslücke tritt auf, wenn Dateipfade unter Verwendung nicht bereinigter Benutzereingaben erstellt werden. Dadurch können Angreifer auf Dateien zugreifen, diese überschreiben oder beliebigen Code ausführen.
Diese Schwachstelle besteht in Python im tar-Modul. Eine tar-Datei (Tape Archive) ist eine einzelne Datei, die als Archiv bezeichnet wird. Sie enthält mehrere Dateien und deren Metadaten in einem Paket und hat in der Regel die Erweiterung tar.gz oder tgz. Jedes Element im Archiv ist ein TAR-Informationsobjekt, das Metadaten wie Dateiname, Änderungszeitpunkt und Eigentumsrechte enthält.
Das Risiko besteht darin, dass das Archiv erneut extrahiert werden kann.
Beim Extrahieren ist ein Schreibpfad für alle Mitglieder erforderlich. Dieser Pfad wird durch die Kombination des Basispfads und des Dateinamens erstellt.
このパスが作成されると、に渡されます tar-Datei. Extrahieren oder tar-Datei. Alle extrahieren Funktion zum Ausführen der Extraktion:
Das Problem hierbei ist, dass die Dateinamen nicht saniert werden. Angreifer könnten die Dateinamen so ändern, dass sie Pfadüberschreitungszeichen enthalten, wie z. B. Doppelpunkt-Doppelpunkt-Schrägstrich (../). Dadurch werden die Dateien aus ihrem ursprünglichen Verzeichnis verschoben und überschreiben beliebige Dateien. Dies führt letztendlich dazu, dass Code aus der Ferne ausgeführt und leicht missbraucht werden kann.
Die Schwachstelle tritt auch in anderen Szenarien auf, wenn bestimmte Methoden bekannt sind. Zusätzlich zur Verarbeitung von tar-Dateien mit Python betrifft diese Schwachstelle auch das Extrahieren von zip-Dateien. Dies ist möglicherweise auch unter einem anderen Namen bekannt. Beispielsweise wurde die Zip-Slipp-Schwachstelle auch in anderen Sprachen als Pythonentdeckt!
Wie kann man das Risiko verringern?
Diese Schwachstelle ist seit Jahren bekannt, aber die Python-Maintainer erwarten, dass die extrahierende Funktion das tut, was sie tun soll. In diesem Fall könnten einige sagen, dass es sich nicht um einen Fehler, sondern um eine Funktion handelt. Leider können Entwickler nicht immer vermeiden, tar- oder zip-Dateien aus unbekannten Quellen zu extrahieren. Als Teil sicherer Entwicklungspraktiken liegt es in der Verantwortung der Entwickler, nicht vertrauenswürdige Eingaben zu sanieren und so eine Path-Traversal-Schwachstelle zu verhindern.
Möchten Sie mehr darüber erfahren, wie Sie mit Python sicheren Code schreiben und Risiken minimieren können?
Probieren Sie uns aus mit unserer kostenlosen Python-Challenge.
Wenn Sie weitere kostenlose Codierungsrichtlinien erhalten möchten, schauen Sie sich Secure Code Coach an. Es hilft Ihnen dabei, stets über sichere Codierungsmethoden informiert zu bleiben.
目次
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
デモを予約[ダウンロード]Ressourcen für den Einstieg
Themen und Inhalte der Secure-Code-Schulung
Unsere branchenführenden Inhalte werden unter Berücksichtigung der Aufgaben unserer Kunden ständig weiterentwickelt, um mit der sich ständig verändernden Softwareentwicklungsumgebung Schritt zu halten. Sie decken alle Themen von KI bis hin zu XQuery-Injection ab und sind für verschiedene Aufgabenbereiche konzipiert, von Architekten und Ingenieuren bis hin zu Produktmanagern und Qualitätssicherungsfachleuten. Werfen Sie einen Blick auf die Inhalte unseres Content-Katalogs, sortiert nach Themen und Aufgabenbereichen.
Die Kamer van Koophandel setzt Maßstäbe für entwicklergesteuerte Sicherheit in großem Maßstab
Die Kamer van Koophandel berichtet, wie sie sicheres Codieren durch rollenbasierte Zertifizierungen, Trust Score-Benchmarking und eine Kultur der gemeinsamen Verantwortung für Sicherheit in die tägliche Entwicklungsarbeit integriert hat.
%20(1).avif)
.avif)
Bedrohungsmodellierung mit KI: So wird jeder Entwickler zum Bedrohungsmodellierer
Sie werden besser gerüstet sein, um Entwicklern dabei zu helfen, Ideen und Techniken zur Bedrohungsmodellierung mit den KI-Tools zu kombinieren, die sie bereits verwenden, um die Sicherheit zu erhöhen, die Zusammenarbeit zu verbessern und von Anfang an widerstandsfähigere Software zu entwickeln.
Ressourcen für den Einstieg
Cybermon ist zurück: Die KI-Mission zum Besiegen des Bosses ist jetzt auf Abruf verfügbar.
「Cybermon 2025 Beat the Boss」 kann nun das ganze Jahr über bei SCW gespielt werden. Führen Sie anspruchsvolle AI/LLM-Sicherheitsherausforderungen ein, um die sichere AI-Entwicklung in großem Maßstab zu stärken.
Erläuterung des Cyber-Resilience-Gesetzes: Bedeutung für die Entwicklung sicherer Software
Erfahren Sie, was das EU-Gesetz zur Cyberresilienz (CRA) verlangt, für wen es gilt und wie sich Ingenieurteams auf Secure-by-Design-Praktiken, Schwachstellenprävention und die Kompetenzentwicklung von Entwicklern vorbereiten können.
Enabler 1: Definierte und messbare Erfolgskriterien
Enabler 1 ist der erste Teil der zehnteiligen Reihe „Enablers of Success“ und zeigt, wie sichere Programmierung mit geschäftlichen Ergebnissen wie Risikominderung und Geschwindigkeit verknüpft werden kann, um Programme langfristig zu optimieren.
