Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2025-10095

Опубликовано: 22 мая 2025
Источник: fstec
CVSS3: 9.8
CVSS2: 10
EPSS Низкий

Описание

Уязвимость пакета tar-fs библиотеки для потоковой обработки файлов формата tar tar-stream программной платформы Node.js связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, записывать произвольные файлы

Вендор

Сообщество свободного программного обеспечения
Node.js Foundation
АО "НППКТ"

Наименование ПО

tar-fs
Node.js
ОСОН ОСнова Оnyx

Версия ПО

до 3.0.9 (tar-fs)
до 2.1.3 (tar-fs)
до 1.16.5 (tar-fs)
- (Node.js)
до 3.1 (ОСОН ОСнова Оnyx)

Тип ПО

Прикладное ПО информационных систем
Сетевое программное средство
Операционная система

Операционные системы и аппаратные платформы

АО "НППКТ" ОСОН ОСнова Оnyx до 3.1

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,8)
Критический уровень опасности (оценка CVSS 4.0 составляет 9,3)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование антивирусного программного обеспечения для проверки файлов, полученных из недоверенных источников;
- использование замкнутой программной среды для работы с файлами, полученными из недоверенных источников.
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к уязвимому программному обеспечению;
- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;
- ограничение доступа к уязвимому программному обеспечению из внешних сетей (Интернет).
Использование рекомендаций:
https://github.com/mafintosh/tar-fs/commit/647447b572bc135c41035e82ca7b894f02b17f0f
Для ОСОН ОСнова Оnyx: Обновление программного обеспечения node-tar-fs до версии 2.1.3-0+deb12u2

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 51%
0.00277
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ubuntu логотип

CVE-2025-48387

ubuntu
10 месяцев назад

tar-fs provides filesystem bindings for tar-stream. Versions prior to 3.0.9, 2.1.3, and 1.16.5 have an issue where an extract can write outside the specified dir with a specific tarball. This has been patched in versions 3.0.9, 2.1.3, and 1.16.5. As a workaround, use the ignore option to ignore non files/directories.

redhat логотип

CVE-2025-48387

CVSS3: 7.3
redhat
10 месяцев назад

tar-fs provides filesystem bindings for tar-stream. Versions prior to 3.0.9, 2.1.3, and 1.16.5 have an issue where an extract can write outside the specified dir with a specific tarball. This has been patched in versions 3.0.9, 2.1.3, and 1.16.5. As a workaround, use the ignore option to ignore non files/directories.

nvd логотип

CVE-2025-48387

nvd
10 месяцев назад

tar-fs provides filesystem bindings for tar-stream. Versions prior to 3.0.9, 2.1.3, and 1.16.5 have an issue where an extract can write outside the specified dir with a specific tarball. This has been patched in versions 3.0.9, 2.1.3, and 1.16.5. As a workaround, use the ignore option to ignore non files/directories.

msrc логотип

CVE-2025-48387

CVSS3: 8.2
msrc
9 месяцев назад

tar-fs has issue where extract can write outside the specified dir with a specific tarball

debian логотип

CVE-2025-48387

debian
10 месяцев назад

tar-fs provides filesystem bindings for tar-stream. Versions prior to ...

EPSS

Процентиль: 51%
0.00277
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2