🇰🇷 한글 설명
node-tar 라이브러리(7.5.2 이하 버전)에서 preservePaths 옵션이 false일 때 링크 경로에 대한 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 악성 아카이브가 추출 경로 제한을 우회하여 임의의 파일을 덮어쓰거나 심볼릭 링크를 통해 시스템 파일을 오염시킬 수 있습니다.
💡 쉬운 설명
압축 파일을 풀 때 파일이 지정된 폴더 밖으로 나가지 못하게 막는 기능이 제대로 작동하지 않는 문제입니다. 해커가 만든 압축 파일을 풀면 컴퓨터의 중요한 파일이 몰래 바뀌거나 삭제될 수 있습니다.
🇺🇸 원문 (English)
node-tar is a Tar for Node.js. The node-tar library (<= 7.5.2) fails to sanitize the linkpath of Link (hardlink) and SymbolicLink entries when preservePaths is false (the default secure behavior). This allows malicious archives to bypass the extraction root restriction, leading to Arbitrary File Overwrite via hardlinks and Symlink Poisoning via absolute symlink targets. This vulnerability is fixed in 7.5.3.
📍 영향받는 시스템
node-tar library versions <= 7.5.2
⚔️ 공격 벡터
악성 링크(Hardlink/Symlink)가 포함된 압축 파일을 실행하여 경로 제한을 우회하고 파일 시스템을 조작함
🛡️ 대응 방법
node-tar 라이브러리를 7.5.3 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 node-tar의 버전이 7.5.2 이하인지 확인하십시오.