CVE-2026-53600 in async-tar
Сводка
по VulDB • 02.09.2026
async-tar — это библиотека для чтения/записи архивов в формате tar, предназначенная для асинхронного Rust. До версии 0.6.1 async-tar некорректно применяет буферизированное расширение PAX размера к промежуточному заголовку расширения (GNU longname L, GNU longlink K или заголовку PAX x/g) вместо того, чтобы применять его к следующей записи файла. Стандарт POSIX требует, чтобы набор расширенных записей PAX описывал следующую запись файла, а не intervening extension header. Поскольку функция poll_next_raw (src/archive.rs) включает буферизированные записи PAX в вычисление размера любого сырого заголовка, который она читает следующим — и этим заголовком может быть промежуточный L — курсор потока продвигается на величину, выбранную злоумышленником, при потреблении тела L. Затем парсер десинхронизируется относительно POSIX-совместимого парсера tar (например, GNU tar), считывая последующие байты с неверной границы блока. Эта проблема исправлена в версии 0.6.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.