p PatchFirst

CVE-2026-33055

CVE-2026-33055 · tar-rs incorrectly ignores PAX size headers if header size is nonzero

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

tar-rs is a tar archive reading/writing library for Rust. Versions 0.4.44 and below have conditional logic that skips the PAX size header in cases where the base header size is nonzero. As part of CVE-2025-62518, the astral-tokio-tar project was changed to correctly honor PAX size headers in the case where it was different from the base header. This is almost the inverse of the astral-tokio-tar issue. Any discrepancy in how tar parsers honor file size can be used to create archives that appear differently when unpacked by different archivers. In this case, the tar-rs (Rust tar) crate is an outlier in checking for the header size - other tar parsers (including e.g. Go archive/tar) unconditionally use the PAX size override. This can affect anything that uses the tar crate to parse archives and expects to have a consistent view with other parsers. This issue has been fixed in version 0.4.45.

CVSS 5.1 · Mittel · EPSS 0,4% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system

Betroffene Produkte und Versionen

  • tar-rs

    Softwareversionen
    • < 0.4.45: Betroffen

    Keine Korrektur veröffentlicht

  • rust-tar Debian:12

    Softwareversionen
    • 0.4.38-1
    • 0.4.38-2
    • 0.4.40-1
    • 0.4.43-1
    • 0.4.43-2
    • 0.4.43-3
    • 0.4.43-4
    • 0.4.44-1
    • 0.4.45-1
    • 0.4.45-2
    • 0.4.46-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • rust-tar Debian:13

    Softwareversionen
    • 0.4.43-4
    • 0.4.44-1
    • 0.4.45-1
    • 0.4.45-2
    • 0.4.46-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • rust-tar Debian:14

    Softwareversionen
    • 0.4.43-4
    • 0.4.44-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 0.4.45-1

    Auf 0.4.45-1 aktualisieren

  • rustc Debian:12

    Softwareversionen
    • 1.63.0+dfsg1-2
    • 1.64.0+dfsg1-1
    • 1.64.0+dfsg1-1~exp1
    • 1.64.0+dfsg1-1~exp2
    • 1.64.0+dfsg1-1~exp3
    • 1.64.0+dfsg1-1~exp4
    • 1.65.0+dfsg1-1
    • 1.65.0+dfsg1-1~exp1
    • 1.65.0+dfsg1-1~exp2
    • 1.65.0+dfsg1-1~exp3
    • 1.65.0+dfsg1-2
    • 1.66.0+dfsg1-1
    • 1.66.0+dfsg1-1~exp1
    • 1.67.1+dfsg1-1
    • 1.67.1+dfsg1-1~exp1
    • 1.68.2+dfsg1-1
    • 1.68.2+dfsg1-1~exp1
    • 1.69.0+dfsg1-1
    • 1.69.0+dfsg1-1~exp1
    • 1.69.0+dfsg1-1~exp2
    • 1.70.0+dfsg1-1
    • 1.70.0+dfsg1-1~exp1
    • 1.70.0+dfsg1-1~exp2
    • 1.70.0+dfsg1-1~exp3
    • 1.70.0+dfsg1-2
    • 1.70.0+dfsg1-2~exp1
    • 1.70.0+dfsg1-3
    • 1.70.0+dfsg1-4
    • 1.70.0+dfsg1-5
    • 1.70.0+dfsg1-6
    • 1.70.0+dfsg1-7
    • 1.70.0+dfsg1-8
    • 1.70.0+dfsg1-8.1
    • 1.70.0+dfsg1-9
    • 1.70.0+dfsg2-1
    • 1.70.0+dfsg2-1+loong64
    • 1.70.0+dfsg2-1~exp1
    • 1.70.0+dfsg2-1~exp2
    • 1.70.0+dfsg2-1~exp3
    • 1.71.1+dfsg1-1
    • 1.71.1+dfsg1-1~exp1
    • 1.71.1+dfsg1-1~exp2
    • 1.71.1+dfsg1-2
    • 1.72.1+dfsg1-1
    • 1.72.1+dfsg1-1+hurd.1
    • 1.72.1+dfsg1-1~exp1
    • 1.72.1+dfsg1-1~exp2
    • 1.73.0+dfsg1-1
    • 1.73.0+dfsg1-1+hurd.1
    • 1.73.0+dfsg1-1+loong64
    • 1.73.0+dfsg1-1~exp1
    • 1.74.1+dfsg1-1
    • 1.74.1+dfsg1-1+hurd.1
    • 1.74.1+dfsg1-1~exp1
    • 1.75.0+dfsg1-1
    • 1.75.0+dfsg1-1~exp1
    • 1.75.0+dfsg1-2
    • 1.75.0+dfsg1-3
    • 1.75.0+dfsg1-4
    • 1.75.0+dfsg1-4+hurd.1
    • 1.75.0+dfsg1-5
    • 1.76.0+dfsg1-1
    • 1.76.0+dfsg1-1+hurd.1
    • 1.76.0+dfsg1-1~exp1
    • 1.77.2+dfsg1-1
    • 1.77.2+dfsg1-1~exp1
    • 1.78.0+dfsg1-1~exp1
    • 1.78.0+dfsg1-2
    • 1.79.0+dfsg1-1
    • 1.79.0+dfsg1-1~exp1
    • 1.79.0+dfsg1-2
    • 1.79.0+dfsg1-2+hurd.1
    • 1.80.0+dfsg1-1~exp1
    • 1.80.1+dfsg1-1
    • 1.80.1+dfsg1-1+hurd.1
    • 1.80.1+dfsg1-1~exp1
    • 1.81.0+dfsg1-1
    • 1.81.0+dfsg1-1~exp1
    • 1.81.0+dfsg1-1~exp2
    • 1.81.0+dfsg1-2
    • 1.82.0+dfsg1-1
    • 1.82.0+dfsg1-1~exp1
    • 1.82.0+dfsg1-1~exp2
    • 1.82.0+dfsg1-1~exp3
    • 1.82.0+dfsg1-2
    • 1.83.0+dfsg1-1
    • 1.83.0+dfsg1-1~exp1
    • 1.84.0+dfsg1-1
    • 1.84.0+dfsg1-1~exp1
    • 1.84.0+dfsg1-2
    • 1.85.0+dfsg1-1
    • 1.85.0+dfsg2-1
    • 1.85.0+dfsg2-2
    • 1.85.0+dfsg2-3
    • 1.85.0+dfsg3-1
    • 1.85.0~beta.9+dfsg1-1~exp1
    • 1.86.0+dfsg1-1
    • 1.86.0+dfsg1-1~bpo13+1
    • 1.86.0+dfsg1-1~bpo13+2
    • 1.86.0+dfsg1-1~exp1
    • 1.86.0+dfsg1-1~exp2
    • 1.86.0+dfsg1-1~exp2+x32
    • 1.86.0+dfsg1-1~exp3
    • 1.86.0+dfsg1-1~exp4
    • 1.87.0+dfsg1-1
    • 1.87.0+dfsg1-1~bpo13+1
    • 1.87.0+dfsg1-1~bpo13+2
    • 1.87.0+dfsg1-1~exp1
    • 1.88.0+dfsg1-1
    • 1.88.0+dfsg1-1~exp1
    • 1.88.0+dfsg1-2
    • 1.88.0+dfsg1-2~bpo13+1
    • 1.89.0+dfsg1-1
    • 1.89.0+dfsg1-1~bpo13+1
    • 1.89.0+dfsg1-1~bpo13+2
    • 1.89.0+dfsg1-1~exp1
    • 1.90.0+dfsg1-1
    • 1.90.0+dfsg1-1~bpo13+1
    • 1.90.0+dfsg1-1~bpo13+2
    • 1.90.0+dfsg1-1~exp1
    • 1.91.1+dfsg1-1
    • 1.91.1+dfsg1-1~bpo13+1
    • 1.91.1+dfsg1-1~bpo13+2
    • 1.91.1+dfsg1-1~exp1
    • 1.91.1+dfsg1-1~exp2
    • 1.91.1+dfsg1-1~exp3
    • 1.92.0+dfsg1-1
    • 1.92.0+dfsg1-1~exp1
    • 1.92.0+dfsg1-2
    • 1.92.0+dfsg1-2~bpo13+1
    • 1.93.1+dfsg1-1
    • 1.93.1+dfsg1-1~exp1
    • 1.93.1+dfsg1-2
    • 1.93.1+dfsg1-2~bpo13+1
    • 1.94.1+dfsg1-1
    • 1.94.1+dfsg1-1~bpo13+1
    • 1.94.1+dfsg1-1~bpo13+2
    • 1.94.1+dfsg1-1~bpo13+3
    • 1.94.1+dfsg1-1~exp1
    • 1.94.1+dfsg1-1~exp2
    • 1.94.1+dfsg1-1~exp3
    • 1.95.0+dfsg1-1
    • 1.95.0+dfsg1-2
    • 1.95.0+dfsg1-2~bpo13+1
    • 1.96.0+dfsg1-1~exp1
    • 1.96.1+dfsg1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • rustc Debian:13

    Softwareversionen
    • 1.85.0+dfsg3-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.85.1+dfsg1-1+deb13u1

    Auf 1.85.1+dfsg1-1+deb13u1 aktualisieren

  • rustc Debian:14

    Softwareversionen
    • 1.85.0+dfsg3-1
    • 1.86.0+dfsg1-1
    • 1.86.0+dfsg1-1~bpo13+1
    • 1.86.0+dfsg1-1~bpo13+2
    • 1.86.0+dfsg1-1~exp1
    • 1.86.0+dfsg1-1~exp2
    • 1.86.0+dfsg1-1~exp2+x32
    • 1.86.0+dfsg1-1~exp3
    • 1.86.0+dfsg1-1~exp4
    • 1.87.0+dfsg1-1
    • 1.87.0+dfsg1-1~bpo13+1
    • 1.87.0+dfsg1-1~bpo13+2
    • 1.87.0+dfsg1-1~exp1
    • 1.88.0+dfsg1-1
    • 1.88.0+dfsg1-1~exp1
    • 1.88.0+dfsg1-2
    • 1.88.0+dfsg1-2~bpo13+1
    • 1.89.0+dfsg1-1
    • 1.89.0+dfsg1-1~bpo13+1
    • 1.89.0+dfsg1-1~bpo13+2
    • 1.89.0+dfsg1-1~exp1
    • 1.90.0+dfsg1-1
    • 1.90.0+dfsg1-1~bpo13+1
    • 1.90.0+dfsg1-1~bpo13+2
    • 1.90.0+dfsg1-1~exp1
    • 1.91.1+dfsg1-1
    • 1.91.1+dfsg1-1~bpo13+1
    • 1.91.1+dfsg1-1~bpo13+2
    • 1.91.1+dfsg1-1~exp1
    • 1.91.1+dfsg1-1~exp2
    • 1.91.1+dfsg1-1~exp3
    • 1.92.0+dfsg1-1
    • 1.92.0+dfsg1-1~exp1
    • 1.92.0+dfsg1-2~bpo13+1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.92.0+dfsg1-2

    Auf 1.92.0+dfsg1-2 aktualisieren

  • rust-tar Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 0.4.26-1
    • 0.4.26-1ubuntu0.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • rust-tar Ubuntu:Pro:22.04:LTS

    Softwareversionen
    • 0.4.26-1
    • 0.4.37-1
    • 0.4.37-3
    • 0.4.37-3ubuntu0.1~esm1
    • 0.4.37-3ubuntu0.1
    • 0.4.37-3ubuntu0.1+esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • rust-tar Ubuntu:24.04:LTS

    Softwareversionen
    • 0.4.38-2
    • 0.4.40-1
    • 0.4.40-1ubuntu0.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • rust-tar Ubuntu:25.10

    Softwareversionen
    • 0.4.43-4
    • 0.4.43-4ubuntu0.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • rust-tar Ubuntu:26.10

    Softwareversionen
    • 0.4.45-1
    • 0.4.45-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • rust-tar Ubuntu:26.04:LTS

    Softwareversionen
    • 0.4.43-4
    • 0.4.44-1
    • 0.4.45-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →