Comprender los errores de recorrido de rutas en el módulo tarfile de Python

Recientemente, un grupo de investigadores de seguridad anunció que había descubierto un error de quince años de antigüedad en la función de extracción de archivos tar de Python. La vulnerabilidad se reveló por primera vez en 2007 y se identificó con el número CVE-2007-4559. Se añadió una nota en la documentación oficial de Python, pero el error en sí no se corrigió.

Esta vulnerabilidad puede afectar a miles de proyectos de software, pero muchas personas no están familiarizadas con la situación ni saben cómo abordarla. Por eso, en Security Code Warrior, le ofrecemosla oportunidad de simular personalmente el aprovechamiento de esta vulnerabilidad para que pueda ver sus efectos con sus propios ojos y experimentar de primera mano el mecanismo de este error persistente, ¡de modo que pueda proteger mejor sus aplicaciones!

Prueba la simulación Misión ahora.

Vulnerabilidad: Recorrido de rutas durante la extracción de archivos tar

Cuando se utilizan entradas de usuario sin revisar para construir rutas de archivo, se produce un recorrido de rutas o directorios, lo que permite a los atacantes obtener acceso y sobrescribir archivos, o incluso ejecutar código arbitrario.

La vulnerabilidad se encuentra en el módulo tarfile de Python. Los archivos tar (archivos de cinta) son archivos únicos denominados «archivos». Agrupan varios archivos y sus metadatos, y suelen identificarse con la extensión .tar.gz o .tgz. Cada miembro del archivo puede representarse con un objeto TarInfo, que contiene metadatos como el nombre del archivo, la hora de modificación, la propiedad, etc.

El riesgo proviene de la posibilidad de volver a extraer los archivos.

Al extraer, cada miembro debe escribir la ruta. Esta ubicación se crea conectando la ruta básica con el nombre del archivo:

Una vez creada esta ruta, se pasará a tarfile.extra o tarfile.extall para ejecutar la función de extracción:

El problema aquí es la falta de limpieza de los nombres de los archivos. Los atacantes pueden renombrar los archivos para incluir caracteres de recorrido de ruta, como barras inclinadas (../), lo que provocará que los archivos se salgan del directorio en el que deberían estar y sobrescriban cualquier archivo. Esto podría acabar provocando la ejecución remota de código, y el momento para aprovecharlo ya ha llegado.

Si sabes cómo identificar esta vulnerabilidad, verás que aparece en otros contextos. Además del procesamiento de archivos tar por parte de Python, esta vulnerabilidad también existe en la extracción de archivos zip. Quizás la conozcas con otro nombre, como «vulnerabilidad de archivos comprimidos», ¡que ya se ha reflejado en otros lenguajes además de Python!

Enlace a la tarea 

¿Cómo reducir el riesgo?

Aunque esta vulnerabilidad se conoce desde hace años, los mantenedores de Python siguen considerando que la función de extracción funciona como debería. En este caso, se podría argumentar que «se trata de una función, no de un error». Por desgracia, los desarrolladores no siempre pueden evitar extraer archivos tar o zip de fuentes desconocidas. Como parte de las prácticas de desarrollo seguro, tienen la responsabilidad de limpiar las entradas no fiables para evitar vulnerabilidades de recorrido de rutas.

¿Quieres saber más sobre cómo escribir código seguro y reducir riesgos con Python?

Prueba nuestro desafío gratuito de Python.

Si está interesado en obtener más guías de programación gratuitas, consulte el Entrenador de código seguro para dominar las prácticas de codificación segura.

‍

‍