🇰🇷 한글 설명
unarchive 내부 모듈의 압축 해제 명령이 추출된 파일 경로에 대한 코드 수준의 검증을 수행하지 않습니다. 이로 인해 GNU tar 1.34 미만 버전이 설치된 시스템에서는 악성 압축 파일을 통해 의도하지 않은 디렉토리에 파일을 쓰는 경로 탐색 공격이 가능합니다.
💡 쉬운 설명
압축을 풀 때 파일이 저장될 위치를 제대로 확인하지 않는 보안 약점이 발견되었습니다. 해커가 만든 특수한 압축 파일을 사용하면 컴퓨터의 중요한 폴더에 몰래 파일을 저장할 수 있습니다.
🇺🇸 원문 (English)
The unarchive internal module's archive extraction commands perform no code-level validation on extracted file paths, relying entirely on the behavior of external tools (e.g. GNU tar) which varies by platform. While CVE-2025-10284 addressed git-specific RCE vectors, the underlying archive extraction path traversal was never fixed. On systems with GNU tar < 1.34 (Ubuntu 20.04, Debian Buster, CentOS 7, many Docker base images), a malicious archive can write files outside the intended extraction directory.
📍 영향받는 시스템
GNU tar < 1.34 버전이 설치된 시스템 (Ubuntu 20.04, Debian Buster, CentOS 7 등)
⚔️ 공격 벡터
경로 탐색(Path Traversal) 기법이 포함된 악성 압축 파일 실행
🛡️ 대응 방법
GNU tar를 1.34 이상의 최신 버전으로 업데이트하거나 압축 해제 시 경로 검증 로직을 추가합니다.
🔧 검증 코드
명령어 결과가 출력되면 취약한 버전(1.34 미만)을 사용 중임을 의미합니다.
tar --version | grep -E 'GNU tar [0-9]+\.[0-9]+' | awk '{print $3}' | awk -F. '$1 < 1 || ($1 == 1 && $2 < 34)'