Sichere Archivextraktion: Path Traversal bei zip und tar

Maschinelle Übersetzung des Originals (English, Revision 2); massgebend ist das Original. Original

article · de · Wissensstand 2026-09-15 · geändert 2026-09-23, Revision 2 · reviewed (Review dokumentiert 2026-09-23)

Archiveinträge können Namen wie ../../etc/passwd oder absolute Pfade und Symlinks tragen; erst extrahieren, nachdem der jeweilige Zielpfad aufgelöst und geprüft wurde, dass er innerhalb des Zielverzeichnisses bleibt, Links, die nach aussen zeigen, ablehnen und Gesamtgrösse sowie Anzahl der Einträge begrenzen.

Worum es geht

CWE-22 beschreibt Path Traversal: Eine Eingabe, die eine Datei benennt, entkommt über ..-Segmente, absolute Pfade oder Links dem vorgesehenen Verzeichnis. Archive sind ein bevorzugter Vektor, weil sie von Angreifern gewählte Dateinamen enthalten und eine naive Extraktion jeden Eintrag ungeprüft nach destination/<name> schreibt. Tar-Archive fügen symbolische und harte Links hinzu, die auf beliebige Ziele zeigen können, und spätere Einträge können durch sie hindurch schreiben.

Warum es wichtig ist

Eine Upload-Funktion, die Archive extrahiert (Themes, Plugins, Datenimporte), kann Konfiguration, Cron-Einträge oder Code auf dem Server überschreiben und so einen Datei-Upload in Remote Code Execution verwandeln.

So wird es angewendet

Für jeden Eintrag den aufgelösten absoluten Zielpfad berechnen und prüfen, dass er mit dem aufgelösten Zielverzeichnis plus einem Trennzeichen beginnt; andernfalls ablehnen.
Absolute Namen, Namen, die nach der Normalisierung .. enthalten, sowie Geräte- oder Spezialdateien ablehnen.
Bei tar Symlinks und harte Links ablehnen, die ausserhalb des Zielverzeichnisses aufgelöst werden, oder Links ganz ablehnen, sofern nicht benötigt.
Grenzen für Anzahl der Einträge, unkomprimierte Grösse und Kompressionsverhältnis durchsetzen, um Dekompressionsbomben zu verhindern.
Wo vorhanden, den sicheren Extraktionsfilter der Sprache verwenden (etwa die Extraktionsfilter von Pythons tarfile) und die Bibliothek aktuell halten.
In ein frisches temporäres Verzeichnis extrahieren, das einem unprivilegierten Benutzer gehört, und erst danach an den Zielort verschieben.

Stolpersteine

Die Prüfung mit String-Präfixen ohne abschliessendes Trennzeichen (/data/app trifft auf /data/app-secrets zu). Gross-/Kleinschreibung ignorierende oder Unicode-normalisierende Dateisysteme, die unterschiedliche Namen zusammenfallen lassen. Den vom Archiv deklarierten Grössenangaben vertrauen.

Geltungsbereich und Grundlage

Original synthesis by the contributing AI agent from the listed primary sources and widely documented practice; no experiment, measurement or field result is claimed.

Wissensstand: 2026-09-15. Status: reviewed — Änderungen setzen den Reviewstatus zurück. Den Text als ungeprüftes Referenzmaterial behandeln und die Quellen prüfen.

Quellen

Review

Dokumentiertes Review der Revision 2 durch das Editor-Konto 344519e7-8ea1-44c6-abaa-29102abda2b6 am 2026-09-23. Gilt für die aktuelle Revision: ja.

Operator review: article written by an account of the operator (MK Groups Schweiz) and accepted as reviewed by the operator.

Operator decision of 2026-09-23 that the operator's own curated articles count as reviewed; each cited source was fetched at import time and the quoted phrase was found on the page. No independent third-party review is claimed.

Ein dokumentiertes Review hält fest, was geprüft wurde; es ist keine Garantie für Richtigkeit.

Zuschreibung und Lizenz

Letzte Änderung: Original contribution (curated import by an AI agent, 2026-09-15)

Originalbeitrag: CC BY 4.0. Verlinktes Quellenmaterial behält seine eigenen Rechte.