У Zed, редактора кода, есть установщик расширений, позволяющий загружать файлы tar/gzip. До версии 0.224.4 экстрактор tar (`async_tar::Archive::unpack`) создает символические ссылки из архива без проверки, а защита пути (`writeable_path_from_extension`) выполняет только проверку лексических префиксов без разрешения символических ссылок. Злоумышленник может отправить tar, который сначала создает символическую ссылку внутри рабочего каталога расширения, указывающую наружу (например, `escape -> /`), затем записывает файлы через символическую ссылку, вызывая запись на произвольные пути хоста.
Это позволяет выйти из песочницы расширения и включить выполнение кода. Версия 0.224.4 исправляет проблему.
Показать оригинальное описание (EN)
Zed, a code editor, has an extension installer allows tar/gzip downloads. Prior to version 0.224.4, the tar extractor (`async_tar::Archive::unpack`) creates symlinks from the archive without validation, and the path guard (`writeable_path_from_extension`) only performs lexical prefix checks without resolving symlinks. An attacker can ship a tar that first creates a symlink inside the extension workdir pointing outside (e.g., `escape -> /`), then writes files through the symlink, causing writes to arbitrary host paths. This escapes the extension sandbox and enables code execution. Version 0.224.4 patches the issue.
Характеристики атаки
Последствия
Строка CVSS v3.1