「多くの解凍ソフトに指定外の場所に解凍してしまう脆弱性」記事へのコメント

tarアーカイブ

[Anonymous Coward]

ちょっとずれるかも知れませんが、UNIXやLinuxで多用されているtarアーカイブは大丈夫なんでしょうか？

フルパスとか相対パスとかでアーカイブしてあるファイルを（間違って）rootで展開しても大丈夫？
＃コマンドラインオプションで安全な展開はできると思いますが

Re:tarアーカイブ

[G7 (3009)]

>フルパスとか相対パスとかでアーカイブしてあるファイルを（間違って）rootで展開しても大丈夫？

フルパスはヤバイけど、相対パスは(上位に遡るパスでない限り)今回言うような意味でのヤバさは無い、のではないかと。

ま、下方向の相対であっても、その位置に「上書きされることをユーザが意図してない」ファイルが有ったら、同じことなんだけどね(^^;
また、一般ユーザであっても、「上書きされることをユーザが意図してない」ファイルは幾らでも有り得るわけなんだけど。

そういや先日 tar cfv hoge.tar ～／ｈｏｇｅｈｏｇｅとか書いて、ハマりました(^^;
～がフルパスに(shellにて)解釈されちゃうんですよね。
一般ユーザで良かったです。「良かった」といっても比較的ですけどね。

Re:tarアーカイブ

[taka2 (14791)]

> 相対パスは(上位に遡るパスでない限り)今回言うような意味でのヤバさは無い、のではないかと。

今回問題になっているのはまさに「上位に遡る相対パス指定で格納されたファイル」を展開させることで、悪意ある攻撃が可能になる、ということなのですが…

で、本題。 GNU tar であれば、
作成時・展開時のどちらの場合でも、
・ファイル名が / で始まる場合
・ファイル名に .. が含まれる場合
はエラーになります。
--absolute-names オプションで強制的に作成/展開も可能ですが…

というわけで、今時だと普通は問題にはならないんじゃないでしょうか。

#GNU tar じゃない tar が入っているシステムだったらヤバイとは思いますが…

Re:tarアーカイブ

[G7 (3009)]

>というわけで、今時だと普通は問題にはならないんじゃないでしょうか。
>#GNU tar じゃない tar が入っているシステムだったらヤバイとは思いますが…

「フリーソフトを入れちゃいけない」計算機だと、ヤバイですぅ…

＃「標準tarにセキュリティ穴がある！」とかいって上司を煽るという手もありますが(^^;

Re:tarアーカイブ

[Anonymous Coward]

Solaris8マシンで試してみました

やりたいこと
・/tmp/topdir/subdir/というディレクトリをアーカイブ
・/tmp/topdir/work/というディレクトリから上位への相対パスでアーカイブ作成
・/tmp/topdir/tmp/tmpsubdir/というディレクトリでアーカイブを展開
・/tmp/topdir/tmp/subdir/というディレクトリができていたらOUT！？

やってみたこと
$ /usr/bin/mkdir -p /tmp/topdir/subdir
$ /usr/bin/touch /tmp/topdir/subdir/testfile
$ /usr/bin/mkdir -p /tmp/topdir/work
$ /usr/bin/mkdir -p /tmp/topdir/tmp/tmpsubdir
$ /usr/bin/cd /tmp/topdir/work/
$ /usr/bin/tar cvf subdir.tar ../subdir/*
　a ../subdir/testfile 0K 　　　え"？
$ /usr/bin/cd /tmp/topdir/tmp/tmpsubdir
$ /usr/bin/mv /tmp/topdir/work/subdir.tar .
$ /usr/bin/tar xvf subdir.tar
　tar: ブロックサイズ = 3
　x ../subdir/testfile, 0 bytes, 0 テープブロック 　　　いや～ん！
$ /usr/bin/ls /tmp/topdir/tmp
　subdir/ tmpsubdir/　　　げー！

駄目ジャン。。。＿|￣|○

Solarisは"今時"のOSじゃないとか言われると辛いですが（笑）、
普通は/usr/binの方が/usr/local/binよりも前に来るようにコマンドラインサーチパスに入っているかと。。。ワーン（涙）

ちなみに、GNU tarで実行すると以下のようになりました(これだよ！これ！）

$ pwd
　/tmp/topdir/tmp/tmpsubdir
$ /usr/local/bin/tar --version
　tar (GNU tar) 1.14
　・・・
$ /usr/local/bin/tar xvf subdir.tar
　../subdir/testfile
　/usr/local/bin/tar: Removing leading `../' from member names
$ /usr/bin/ls /tmp/topdir/tmp/
　tmpsubdir/
$ ls /tmp/topdir/tmp/tmpsubdir/
　subdir/ subdir.tar

もし、システム管理者にインストールを許してもらえないという寂しい状態なら、ホームディレクトリ以下にbin/とか作って入れてパスを通すとかでしょうか。。。カナリサビシイですが

Re:tarアーカイブ

[taka2 (14791)]

なるほど、Solaris8 だと、昔ながらの tar と GNU tar の両方が入ってるんですね。
とりあえず、普通は /usr/local/bin が先だろ、と主張してみます。

それにしても、今時だと、
・gzip が無くては仕事にならない
・tar zxf とかで gz が扱えない tar は使い物にならない
って主張を通したいところなんですけど

通らない所もありそうですね…

Re:tarアーカイブ

[Anonymous Coward]

え・・・と、一つ追記
/usr/local/bin以下は、後から手動でインストールしたソフトが入っています。
なので、デフォルトインストール環境では/usr/localすらありませんので、GNU tarは入っていません（汗）

もちろん、ご指摘のようにgzipを即効で取ってきて、gccを入れて、tcsh入れて・・・云々します。（せめて、gzipぐらいは入っていて欲しかった）
あと、tar zxfについてはgzip -cd hoge | tar xvf - で我慢してます（