¿Cómo extraigo de forma segura un archivo tar no confiable?

Me gustaría poder extraer un archivo tar, de modo que todos los archivos extraídos se coloquen en un determinado directorio de prefijos. Cualquier intento de los archivos tar para escribir en directorios externos debería hacer que la extracción falle.

Como puede imaginar, esto es para que pueda extraer de forma segura un archivo tar no confiable.

¿Cómo puedo hacer esto con GNU tar?

Se me ocurrio:

tar --exclude='/*' --exclude='*/../*' --exclude='../*' -xvf untrusted_file.tar

pero no estoy seguro de que esto sea lo suficientemente paranoico.

No necesitas la paranoia en absoluto. GNU tar, y de hecho cualquier programa bien escrito tarproducido en los últimos 30 años más o menos, se negará a extraer archivos en el tarball que comiencen con una barra o que contengan ..elementos, por defecto.

tarDebe esforzarse para obligar a los programas modernos a extraer tales tarballs potencialmente maliciosos: tanto GNU como BSD tarnecesitan la -Popción para que deshabiliten esta protección. Consulte la sección Nombres de archivos absolutos en el manual de GNU tar.

Sin -Pembargo, POSIX no especifica el indicador, por lo que otros tarprogramas pueden tener diferentes formas de lidiar con esto. Por ejemplo, las herramientas Schily stardel programa de usos -/y -..para desactivar estas protecciones.

Lo único que podría considerar agregar a un tarcomando ingenuo es una -Cbandera para forzarlo a extraer cosas en un directorio temporal seguro, para que no tenga que hacerlo cdprimero.

A un lado :

1. Técnicamente, tarPOSIX ya no lo especifica. Intentaron decirle al mundo informático de Unix que deberíamos estar usando paxahora en lugar de tary cpio, pero el mundo informático los ignoró en gran medida.

   Es relevante tener en cuenta que la especificación POSIX para paxno dice cómo debe manejar las barras inclinadas o los ..elementos incrustados . Hay un --insecureindicador no estándar para que BSDpax suprima las protecciones contra ..elementos de ruta incrustados , pero aparentemente no hay una protección predeterminada contra las barras diagonales principales; la paxpágina de manual de BSD recomienda indirectamente escribir -sreglas de sustitución para tratar el riesgo de ruta absoluto.

   Ese es el tipo de cosas que suceden cuando un estándar de facto permanece en uso activo mientras que el estándar de jure se ignora en gran medida.

Con GNU tar, es simplemente

tar -xvf untrusted_file.tar

en un directorio vacio GNU tar elimina automáticamente /los nombres de los miembros principales cuando se extrae, a menos que explícitamente no se indique lo contrario con la --absolute-namesopción . GNU tar también detecta cuándo el uso de ../haría que un archivo se extrajera fuera del directorio de nivel superior y coloca esos archivos en el directorio de nivel superior, por ejemplo, un componente foo/../../bar/quxse extraerá como bar/quxen el directorio de nivel superior bar/quxen lugar del padre del directorio de nivel superior . GNU tar también se encarga de los enlaces simbólicos que apuntan fuera del directorio de nivel superior, por ejemplo, foo -> ../..y foo/barno hará barque se extraiga fuera del directorio de nivel superior.

Tenga en cuenta que esto solo se aplica a (versiones suficientemente recientes de) GNU tar (así como a algunas otras implementaciones, por ejemplo, * BSD tar y BusyBox tar). Algunas otras implementaciones no tienen dicha protección.

Debido a los enlaces simbólicos, las protecciones que usa no serían suficientes: el archivo podría contener un enlace simbólico que apunta a un directorio fuera del árbol y extraer archivos en ese directorio. No hay forma de resolver ese problema basándose únicamente en los nombres de los miembros, debe examinar el objetivo de los enlaces simbólicos.

Tenga en cuenta que si está extrayendo en un directorio que ya contiene enlaces simbólicos, es posible que la garantía ya no se mantenga.

Para cubrir algunos puntos, las otras respuestas no lo han hecho:

1. Primero, mira lo que hay en el archivo antes de extraerlo:

   tar -tvf untrusted_tar_file.tar
   

   Si hay algo allí en lo que no confías o no quieres extraer, no extraigas el tarball.

2. En segundo lugar, extraiga el tarball como usuario no root que solo tiene acceso de escritura al único directorio en el que extrae el tarball. Por ejemplo, extraiga el tarball desde el directorio de inicio del usuario no root.