https://www.opennet.ru/openforum/vsluhforumID3/109498.html В утилите GNU tar выявлена (http://seclists.org/fulldisclosure/2016/Oct/96) уязвимость (CVE-2016-6321 (https://security-tracker.debian.org/tracker/CVE-2016-6321)), позволяющая при раскрытии архива осуществить запись за пределы целевого каталога, заданного в командной строке. Например, запустив распаковку одного файла, может быть переписан другой файл или осуществлено раскрытие файлов в обход заданным маскам и исключениям.<br><br>Подготовив специальным образом архив атакующий может добиться записи сторонних файлов при распаковке, например, подменить ключ входа по SSH или сценарии автозапуска bash при распаковке в домашнюю директорию. В случае если архив распаковывается пользователем root возможно организовать перезапись системных файлов и получить полномочия суперпользователя (например, переписав crontab). Интересно, что информация о проблеме была отправлена сопровождающему GNU tar ещё в марте, но он не посчитал указанную проблему уязвимостью, поэтому проблема на момент публикации эксплоита остаётся неисправленной https://www.opennet.ru/openforum/vsluhforumID3/109498.html#58 Mon, 31 Oct 2016 11:05:23 GMT Проблема не "куда именно распаковывать", а "что именно распаковывать".<br> https://www.opennet.ru/openforum/vsluhforumID3/109498.html#57 Sun, 30 Oct 2016 20:24:08 GMT это не уязвимость, - это фича! ;)<br> https://www.opennet.ru/openforum/vsluhforumID3/109498.html#56 Sun, 30 Oct 2016 19:32:27 GMT &gt; LibreOffice в качестве pid(1) должен быть хорош!!<br><br>Ты там потише, а то нокия уже доперла однажды до прелоада браузера сразу после старта системы. Здорово же если браузер вываливается на экран сразу как ты клацнул ярлык. А то что он трскал цать мегов даже если ты им не пользовался... ннннну... красота^W п0нт^W UX требует жертв, да?<br><br> https://www.opennet.ru/openforum/vsluhforumID3/109498.html#55 Sun, 30 Oct 2016 13:40:05 GMT Воу, воу, осади мысли-скакуны.<br><br>Тот кто распаковывает указывает что он хочет распаковать в маске для распаковки.<br>То что программа делает с именами файлов _перед_ распаковкой это распаковывающему совсем неинтересно.<br><br>Если короче - маска применяется _после_ всех манипуляций с именем файла.<br> https://www.opennet.ru/openforum/vsluhforumID3/109498.html#54 Sat, 29 Oct 2016 21:50:49 GMT А какое может быть решение проблемы "в имени файла есть /../"?<br>например<br>etc/motd/../etc/shadow<br>etc/motd/../vmlinuz<br><br>Куда такие файлы должны быть распакованы?<br>В файл указанный в маске для распаковки?<br>Что делать с масками --wildcards "m*"<br>?<br>Считать имя повреждённым и вообще не распаковывать такие файлы?<br> https://www.opennet.ru/openforum/vsluhforumID3/109498.html#53 Sat, 29 Oct 2016 10:12:36 GMT теперь посмотри что осталось.<br> https://www.opennet.ru/openforum/vsluhforumID3/109498.html#52 Fri, 28 Oct 2016 17:34:38 GMT &gt; что при указании tar раскрывать в /etc<br><br>Это 3.14здец!<br>Как гвоздик в розетку сувать - если в ноль (или тапки сухие) то и не 2.71бнет.<br> https://www.opennet.ru/openforum/vsluhforumID3/109498.html#51 Fri, 28 Oct 2016 15:18:40 GMT плюсую!!!<br> https://www.opennet.ru/openforum/vsluhforumID3/109498.html#50 Fri, 28 Oct 2016 14:23:28 GMT Вообще-то распаковка из под рута это норма. А ты бекап распаковываешь от пользователя, а потом для каждого файла рутом правишь владельца? А для распаковки архивов с содержимым для самого рута создаешь отдельного пользователя, распаковываешь под ним, а потом переносишь в /root?<br>Проблема не в том, из под какого пользователя, а в том, куда именно распаковывать. <br>