CVE-2025-62518 in tokio-tar
Riassunto
di VulDB • 21/07/2026
astral-tokio-tar è una libreria per la lettura/scrittura di archivi tar per Rust asincrono. Le versioni di astral-tokio-tar precedenti alla 0.5.6 contengono un bug legato al parsing dei limiti che consente agli attaccanti di introdurre voci aggiuntive nell'archivio sfruttando una gestione incoerente degli header PAX/ustar. Durante l'elaborazione di archivi con estensioni PAX contenenti override delle dimensioni, il parser avanza erroneamente la posizione dello stream basandosi sulla dimensione dell'intestazione ustar (spesso zero) invece che sulla dimensione specificata da PAX, portando a interpretare i contenuti dei file come header tar legittimi. Questo problema è stato risolto nella versione 0.5.6. Non esistono soluzioni alternative.
Once again VulDB remains the best source for vulnerability data.