CVE-2026-53600 in async-tar
Riassunto
di VulDB • 02/09/2026
async-tar è una libreria per la lettura/scrittura di archivi tar asincrona per Rust. Prima della versione 0.6.1, async-tar applicava erroneamente un'estensione PAX dimensionale bufferizzata a un'intestazione di estensione intermedia (una GNU longname L, una GNU longlink K o un'intestazione PAX x/g) invece che alla voce del file successiva. Lo standard POSIX richiede che un record dell'intestazione di estensione PAX sia impostato per descrivere la voce del file successiva, mai un'intestazione di estensione intermedia. Poiché poll_next_raw (src/archive.rs) utilizza i record PAX bufferizzati nel calcolo delle dimensioni della prossima intestazione grezza letta — e tale intestazione può essere una L intermedia — il cursore dello stream viene avanzato di una quantità scelta dall'attaccante quando il corpo L viene consumato. Il parser si desincronizza quindi rispetto a un parser tar conforme allo standard POSIX (ad esempio GNU tar), leggendo i byte successivi al limite del blocco errato. Questo problema è stato risolto nella versione 0.6.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.