Пакет npm "tar" (он же node-tar) до версий 4.4.16, 5.0.8 и 6.1.7 имеет уязвимость, связанную с произвольным созданием/перезаписью файлов и …

Пакет npm "tar" (он же node-tar) до версий 4.4.16, 5.0.8 и 6.1.7 имеет уязвимость, связанную с произвольным созданием/перезаписью файлов и произвольным выполнением кода. node-tar стремится гарантировать, что ни один файл, местоположение которого будет изменено символической ссылкой, не будет извлечен. Это, в частности, достигается путем обеспечения того, чтобы извлеченные каталоги не были символическими ссылками. Кроме того, чтобы предотвратить ненужные вызовы stat для определения того, является ли данный путь каталогом, пути кэшируются при создании каталогов. Эта логика была недостаточной при извлечении tar-файлов, которые содержали как каталог, так и символическую ссылку с тем же именем, что и каталог, где имена символических ссылок и каталогов в записи архива использовали обратные косые черты в качестве разделителя путей в системах posix. Логика проверки кэша использовала как символы `\`, так и `/` в качестве разделителей путей, однако `\` является допустимым символом имени файла в системах posix. Сначала создав каталог, а затем заменив этот каталог символической ссылкой, можно было обойти проверки символических ссылок node-tar в каталогах, что, по сути, позволяло ненадежному tar-файлу создавать символическую ссылку в произвольное местоположение и впоследствии извлекать произвольные файлы в это местоположение, тем самым позволяя произвольное создание и перезапись файлов. Кроме того, аналогичная путаница могла возникнуть в файловых системах, нечувствительных к регистру. Если tar-архив содержал каталог в `FOO`, за которым следовала символическая ссылка с именем `foo`, то в файловых системах, нечувствительных к регистру, создание символической ссылки удалило бы каталог из файловой системы, но _не_ из внутреннего кэша каталогов, поскольку он не рассматривался бы как попадание в кэш. Последующая запись файла в каталоге `FOO` будет помещена в цель символической ссылки, полагая, что каталог уже был создан. Эти проблемы были решены в выпусках 4.4.16, 5.0.8 и 6.1.7. Ветвь v3 node-tar устарела и не получила исправлений для этих проблем. Если вы все еще используете выпуск v3, мы рекомендуем вам обновиться до более новой версии node-tar. Если это невозможно, обходной путь доступен в указанном GHSA-9r2w-394v-53qc.