Уязвимость функций TarFile.extractall() и TarFile.extract() модуля tarfile интерпретатора языка программирования Python (CPython) связана с неверным ограничением имени пути к каталогу с ограниченным доступом при обработке параметра filter= со значением data или tar. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, записывать произвольные файлы
В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование антивирусного программного обеспечения для проверки наличия вредоносных файлов;
- ограничение доступа из внешних сетей (Интернет);
- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;
- использование SIEM-систем для отслеживания попыток эксплуатации уязвимости.
Использование рекомендаций:
Для Python:
https://github.com/python/cpython/tags
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2025-4517
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2025-4517
Для Ubuntu:
https://ubuntu.com/security/CVE-2025-4517
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2025-4517.html
Для Fedora:
https://bodhi.fedoraproject.org/updates/FEDORA-2023-9d033517d4
https://bodhi.fedoraproject.org/updates/FEDORA-2024-82a696ca59
https://bodhi.fedoraproject.org/updates/FEDORA-2025-3436f3d2b4
https://bodhi.fedoraproject.org/updates/FEDORA-2025-41dc96c19a
Обновление программного обеспечения python3.9 до версии 3.9.23-1.osnova2u1
Для МСВСфера: https://errata.msvsphere-os.ru/definition/9/INFCSA-2025:10136?lang=ru
| Балл | 9.7 — критическая опасность |