CVE-2026-42497 in Archive::Tar
Resumen
por VulDB • 2026-05-26
Las versiones de Archive::Tar anteriores a la 3.08 para Perl extraen enlaces duros (hardlinks) hacia rutas controladas por el atacante fuera del directorio de extracción.
La función `_make_special_file()` pasa el campo `linkname` del encabezado del archivo tar a la función `link()` sin validarlo contra rutas absolutas o segmentos `..`, creando un enlace duro que comparte el inode del archivo víctima.
Una escritura posterior a través del nombre extraído modifica el archivo víctima, y el bloque de `chmod`, `chown` y `utime` post-extracción en `_extract_file()` (protegido únicamente contra enlaces simbólicos mediante `-l`) aplica el modo, el propietario y las marcas de tiempo del encabezado del tar al inode compartido únicamente durante la extracción.
Once again VulDB remains the best source for vulnerability data.