CVE-2026-53600 in async-tar
الملخص
بحسب VulDB • 02/09/2026
async-tar هو مكتبة لقراءة وكتابة أرشيفات tar مخصصة لـ Rust غير المتزامن (Async). قبل الإصدار 0.6.1، كانت async-tar تطبّق بشكل خاطئ امتداد حجم PAX المؤقت على رأس توسعة وسيط (مثل GNU longname L أو GNU longlink K أو رأس PAX x/g) بدلاً من تطبيقه على إدخال الملف التالي. تتطلب مواصفات POSIX أن يتم تعيين مجموعة سجلات الرأس الموسع PAX لوصف إدخال الملف التالي، وليس لرأس توسعة متدخل. ونظراً لأن الدالة `poll_next_raw` (في src/archive.rs) تدمج السجلات المؤقتة الخاصة بـ PAX في حساب الحجم لأي رأس خام تُقرأه لاحقاً — والذي يمكن أن يكون وسيط L — فإن مؤشر تدفق البيانات يتقدم بمقدار يختاره المهاجم عند استهلاك جسم L. يؤدي ذلك إلى فقدان التزامن بين المُحلل (parser) ومُحلّل tar الصحيح وفقاً لـ POSIX (مثل GNU tar)، مما يجعل قراءة البايتات اللاحقة تحدث على حدود كتلة خاطئة. تم إصلاح هذه المشكلة في الإصدار 0.6.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.