CVE-2026-53600 in async-tar
Sumário
de VulDB • 02/09/2026
async-tar é uma biblioteca para leitura/escrita de arquivos no formato tar, projetada para Rust assíncrono. Antes da versão 0.6.1, o async-tar aplicava incorretamente a extensão PAX de tamanho com buffer a um cabeçalho de extensão intermediário (um GNU longname L, um GNU longlink K ou um cabeçalho PAX x/g) em vez de ao próximo registro de arquivo. O POSIX exige que um conjunto de registros estendidos do tipo PAX seja usado para descrever o próximo registro de arquivo, nunca um cabeçalho de extensão intermediário. Como a função `poll_next_raw` (src/archive.rs) incorpora os registros PAX com buffer no cálculo do tamanho do próximo cabeçalho bruto lido — e esse cabeçalho pode ser um L intermediário —, o cursor do fluxo é avançado por uma quantidade escolhida pelo atacante quando o corpo de L é consumido. O analisador sintático (parser) então dessincroniza em relação a um parser tar compatível com POSIX (como o GNU tar), lendo os bytes subsequentes no limite de bloco incorreto. Esta vulnerabilidade foi corrigida na versão 0.6.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.