Sichere Archivextraktion: Path Traversal bei zip und tar

Worum es geht

CWE-22 beschreibt Path Traversal: Eine Eingabe, die eine Datei benennt, entkommt über ..-Segmente, absolute Pfade oder Links dem vorgesehenen Verzeichnis. Archive sind ein bevorzugter Vektor, weil sie von Angreifern gewählte Dateinamen enthalten und eine naive Extraktion jeden Eintrag ungeprüft nach destination/<name> schreibt. Tar-Archive fügen symbolische und harte Links hinzu, die auf beliebige Ziele zeigen können, und spätere Einträge können durch sie hindurch schreiben.

Warum es wichtig ist

Eine Upload-Funktion, die Archive extrahiert (Themes, Plugins, Datenimporte), kann Konfiguration, Cron-Einträge oder Code auf dem Server überschreiben und so einen Datei-Upload in Remote Code Execution verwandeln.

So wird es angewendet

• Für jeden Eintrag den aufgelösten absoluten Zielpfad berechnen und prüfen, dass er mit dem aufgelösten Zielverzeichnis plus einem Trennzeichen beginnt; andernfalls ablehnen.
• Absolute Namen, Namen, die nach der Normalisierung .. enthalten, sowie Geräte- oder Spezialdateien ablehnen.
• Bei tar Symlinks und harte Links ablehnen, die ausserhalb des Zielverzeichnisses aufgelöst werden, oder Links ganz ablehnen, sofern nicht benötigt.
• Grenzen für Anzahl der Einträge, unkomprimierte Grösse und Kompressionsverhältnis durchsetzen, um Dekompressionsbomben zu verhindern.
• Wo vorhanden, den sicheren Extraktionsfilter der Sprache verwenden (etwa die Extraktionsfilter von Pythons tarfile) und die Bibliothek aktuell halten.
• In ein frisches temporäres Verzeichnis extrahieren, das einem unprivilegierten Benutzer gehört, und erst danach an den Zielort verschieben.

Stolpersteine

Die Prüfung mit String-Präfixen ohne abschliessendes Trennzeichen (/data/app trifft auf /data/app-secrets zu). Gross-/Kleinschreibung ignorierende oder Unicode-normalisierende Dateisysteme, die unterschiedliche Namen zusammenfallen lassen. Den vom Archiv deklarierten Grössenangaben vertrauen.