Zaloguj się
Deutsch English Español Polski
Średnia

Denial of service while parsing a tar file due to lack of folders count validation

  • Ujawniono: 22.03.2024
  • Aktualizacja: 11.10.2026 10:22

Description:

During some analysis today on npm's node-tar package I came across the folder creation process, Basicly if you provide node-tar with a path like this ./a/b/c/foo.txt it would create every folder and sub-folder here a, b and c until it reaches the last folder to create foo.txt, In-this case I noticed that there's no validation at all on the amount of folders being created, that said we're actually able to CPU and memory consume the system running node-tar and even crash the nodejs client within few seconds of running it using a path with too many sub-folders inside

Steps To Reproduce:

You can reproduce this issue by downloading the tar file I provided in the resources and using node-tar to extract it, you should get the same behavior as the video

Proof Of Concept:

Here's a video show-casing the exploit:

Impact

Denial of service by crashing the nodejs client when attempting to parse a tar archive, make it run out of heap memory and consuming server CPU and memory resources

Report resources

payload.txt archeive.tar.gz

Note

This report was originally reported to GitHub bug bounty program, they asked me to report it to you a month ago

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm node-tar < 6.2.1 6.2.1
Paczka npm tar < 6.2.1 6.2.1

Odnośniki

Ocena CVSS 6.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
Słabość (CWE)
CWE-400
Platforma
npm
Paczka
node-tar, tar
Ujawniono
22.03.2024
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-f5x3-32g6-xq36 - CC BY 4.0

Historia podatności: tar

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (21) w archiwum
Wszystkich wpisów
21
Pierwsza → ostatnia
10.2017 07.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 15
  • Średnia 5

Ujawnienia w latach

Istotność:
  1. node-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
    Wysoka · 7.5 CVE-2026-73566 < 7.5.21 7.5.21
  2. node-tar: Decompression/parse DoS via unlimited input
    Krytyczna · 7.5 CVE-2026-59873 < 7.5.19 7.5.19
  3. node-tar: Negative tar entry size causes infinite loop in archive replace
    Wysoka · 7.5 CVE-2026-59874 < 7.5.18 7.5.18
  4. node-tar Symlink Path Traversal via Drive-Relative Linkpath
    Wysoka CVE-2026-31802 < 7.5.11 7.5.11
  5. tar has Hardlink Path Traversal via Drive-Relative Linkpath
    Wysoka CVE-2026-29786 < 7.5.10 7.5.10
  6. Arbitrary File Read/Write via Hardlink Target Escape Through Symlink Chain in node-tar Extraction
    Wysoka · 7.1 CVE-2026-26960 < 7.5.8 7.5.8
  7. node-tar Vulnerable to Arbitrary File Creation/Overwrite via Hardlink Path Traversal
    Wysoka · 8.2 CVE-2026-24842 < 7.5.7 7.5.7
  8. Race Condition in node-tar Path Reservations via Unicode Ligature Collisions on macOS APFS
    Wysoka · 8.8 CVE-2026-23950 < 7.5.4 7.5.4
  9. node-tar is Vulnerable to Arbitrary File Overwrite and Symlink Poisoning via Insufficient Path Sanitization
    Wysoka CVE-2026-23745 < 7.5.3 7.5.3
  10. Denial of service while parsing a tar file due to lack of folders count validation ten wpis
    Średnia · 6.5 CVE-2024-28863 < 6.2.1 6.2.1
  11. Arbitrary File Creation/Overwrite via insufficient symlink protection due to directory cache poisoning using symbolic links
    Wysoka · 8.2 CVE-2021-37701 >= 3.0.0, < 4.4.16, >= 5.0.0, < 5.0.8, >= 6.0.0, < 6.1.7 4.4.16, 5.0.8, 6.1.7
  12. Arbitrary File Creation/Overwrite via insufficient symlink protection due to directory cache poisoning using symbolic links
    Wysoka · 8.2 CVE-2021-37712 >= 3.0.0, < 4.4.18, >= 5.0.0, < 5.0.10, >= 6.0.0, < 6.1.9 4.4.18, 5.0.10, 6.1.9
  13. Arbitrary File Creation/Overwrite on Windows via insufficient relative path sanitization
    Wysoka · 8.2 CVE-2021-37713 < 4.4.18, >= 5.0.0, < 5.0.10, >= 6.0.0, < 6.1.9 4.4.18, 5.0.10, 6.1.9
  14. Arbitrary File Creation/Overwrite due to insufficient absolute path sanitization
    Wysoka · 8.2 CVE-2021-32804 < 3.2.2, >= 4.0.0, < 4.4.14, >= 5.0.0, < 5.0.6, >= 6.0.0, < 6.1.1 3.2.2, 4.4.14, 5.0.6, 6.1.1
  15. Arbitrary File Creation/Overwrite via insufficient symlink protection due to directory cache poisoning
    Wysoka · 8.2 CVE-2021-32803 >= 3.0.0, < 3.2.3, >= 4.0.0, < 4.4.15, >= 5.0.0, < 5.0.7, >= 6.0.0, < 6.1.2 3.2.3, 4.4.15, 5.0.7, 6.1.2
  16. Arbitrary File Overwrite in tar
    Wysoka · 7.5 CVE-2018-20834 >= 3.0.0, < 4.4.2, < 2.2.2 4.4.2, 2.2.2
  17. Symlink Arbitrary File Overwrite in tar
    Wysoka · 7.5 CVE-2015-8860 < 2.0.0 2.0.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.