- Yama var
- Son 7 gün
CVE-2026-114583
Python tarfile tar_filter, boş adlı sembolik bağlantılarla hedef dizin dışına yazmaya izin veriyor
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- PSF
ÖzetTürkçe
tarfile.tar_filter, boş veya dizin benzeri adlara sahip sembolik bağlantılar da dahil olmak üzere özel hazırlanmış bağlantı girdileri kullanılarak atlatılabiliyordu; bu da sonraki arşiv üyelerinin amaçlanan çıkarma dizininin dışına yönlendirilmesine yol açıyordu. Bu durum, kötü niyetli bir tar arşivinin, filter="tar" ile çalışan tarfile.extractall fonksiyonunun, çıkarma işlemini yapan sürecin izinlerine bağlı olarak hedef dizin dışına dosya yazmasına neden olmasına izin veriyordu. Bu açıklık, tarfile.data_filter'ı etkileyen CVE-2026-7774'ün tarfile.tar_filter karşılığıdır.
Kaynaktaki açıklama (İngilizce)
tarfile.tar_filter could be bypassed using crafted link entries, including symlinks with empty or directory-like names, to redirect later archive members outside the intended extraction directory. This allowed a malicious tar archive to cause tarfile.extractall() with filter="tar" to write files outside the destination directory, subject to the permissions of the extracting process.
This is the tarfile.tar_filter counterpart of CVE-2026-7774, which covered tarfile.data_filter.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Python Software Foundation CPython | < 3.11.18 | 3.11.18 |
| ≥ 3.12.0, < 3.12.16 | 3.12.16 | |
| ≥ 3.13.0, < 3.13.18 | 3.13.18 | |
| ≥ 3.14.0, < 3.14.10 | 3.14.10 | |
| ≥ 3.15.0, < 3.15.2 | 3.15.2 | |
| ≥ 3.16.0a1, < 3.16.0 | 3.16.0 |
Kaynaklar11 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/python/cpython/pull/160098 Yama
- github.com/…ommit/0901ad4ffb22605f12b705d1c1197f0a01f0ba0b Yama
- github.com/…ommit/c6ada40177436e4e2533a7b252082b5f0c043477 Yama
- github.com/…ommit/e7e0b3523ad6ba8472873dda594cf4021a16f8b5 Yama
- github.com/…ommit/04d8fca7da2cf3ebc0881fec8a53a1330c3b665d Yama
- github.com/…ommit/bc93f8ad4c4a0f92d184ec8fccc8ff8a651dcec2 Yama
- github.com/…ommit/f4401da82e2baec5dab06cf070fbca77d53220f0 Yama
- github.com/python/cpython/issues/160097 Üçüncü taraf
- mail.python.org/…on.org/thread/43JOWPRAV5DI3VZ4FUEUAZOHCATXXOCK Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.