TARmageddon: Celah Kritis pada Perpustakaan Rust yang Terabaikan Bisa Menyebabkan RCE

Sebuah kerentanan berisiko tinggi ditemukan pada perpustakaan Rust async-tar dan sejumlah forknya, memungkinkan penyerang melakukan eksekusi kode jarak jauh (RCE) pada sistem yang belum diperbarui. Insiden ini menggarisbawahi masalah klasik ekosistem perangkat lunak bebas: proyek populer yang ditinggalkan tetap tersebar luas dan berpotensi menularkan risiko ke banyak proyek downstream.

Inti kerentanan
Masalah, diberi label CVE-2025-62518 dan dijuluki “TARmageddon” oleh penemu, merupakan flaw logika pada proses parsing arsip TAR. Ketika parser memproses TAR bersarang yang memadukan header ustar dan header PAX yang tidak sinkron, posisi pembaca (stream position) dapat bergeser secara keliru. Akibatnya parser dapat salah mengira isi file sebagai header TAR baru dan mengekstrak entri tambahan yang disisipkan penyerang. Teknik ini memungkinkan pemalsuan atau penggantian berkas—misalnya file konfigurasi—yang berpotensi digunakan untuk kompromi rantai pasokan perangkat lunak atau mengakibatkan eksekusi kode berbahaya pada lingkungan build dan runtime.

Dampak pada ekosistem
Kerentanan tidak hanya berdampak pada async-tar sebagai proyek induk, melainkan juga pada cabang-cabangnya, termasuk tokio-tar—fork yang sangat populer dan banyak digunakan. Karena tokio-tar dan beberapa fork lainnya tidak lagi aktif dipelihara, cakupan dampak sulit diukur secara tepat: pustaka yang banyak didownload tetap hidup dalam berbagai bentuk dalam ratusan atau ribuan proyek. Beberapa proyek besar yang tercatat terpengaruh meliputi pengelola paket uv, platform wasmCloud, testcontainers, dan beberapa paket lain yang memproses atau mengekstrak arsip TAR sebagai bagian dari alur kerja mereka. Dalam praktiknya, bila suatu dependensi berada di banyak rantai pasokan, satu celah parser dapat memperbesar risiko supply-chain secara drastis.

Respon peneliti dan mitigasi yang disarankan
Tim keamanan yang menemukan bug merekomendasikan dua langkah utama kepada pengembang: memperbarui ke versi pustaka yang telah ditambal atau segera menghapus/mengganti dependency rentan. Fork aktif yang dipelihara telah menerima patch; beberapa pihak penyelenggara fork mendorong migrasi ke fork yang dimiliki pemelihara aktif (misalnya fork yang dipelihara oleh Astral). Sementara itu, beberapa fork yang dibuat oleh penemu semula akan diarsipkan untuk mengurangi kebingungan di ekosistem.

Secara teknis, perbaikan yang diterapkan menitikberatkan pada validasi header dan pemeriksaan batas (boundary checking) yang ketat: prioritisasi ukuran berdasarkan header PAX (ketimbang ukuran pada header ustar yang tidak konsisten), verifikasi konsistensi antara catatan PAX dan ustar, serta pembatasan sehingga parser tidak menjumpai isi file sebagai header. Untuk pengguna dan pemelihara proyek, tindakan praktis yang disarankan adalah:

• Memeriksa apakah proyek menggunakan async-tar, tokio-tar, atau fork turunannya sebagai dependency transitif.
• Meng-upgrade ke versi fork yang telah menerima patch atau mengganti dependency dengan implementasi yang aktif dipelihara.
• Bila upgrade tidak memungkinkan segera, mempertimbangkan untuk menghapus kemampuan ekstraksi TAR yang tidak diperlukan dari pipeline build atau menambahkan lapisan validasi input sebelum mengekstrak arsip.
• Meninjau proses continuous integration / build backend guna memastikan arsip yang diterima berasal dari sumber tepercaya dan menambah isolasi (mis. sandboxing) saat memproses artefak pihak ketiga.

Pelajaran lebih luas: risiko proyek tak terawat
Kasus ini menegaskan risiko yang muncul dari “abandonware” pada ekosistem open-source: kode yang populer tetapi tidak lagi dipelihara berpotensi menjadi titik kegagalan keamanan yang kompleks untuk ditangani. Ketika patch tidak bisa diterapkan oleh pemilik asli, koordinasi terdesentralisasi dengan pembuat fork dan pengelola downstream menjadi perlu, namun proses itu tidak selalu mencakup seluruh proyek terdampak. Oleh karena itu, organisasi yang mengandalkan rantai pasokan perangkat lunak terbuka harus meningkatkan inventaris dependency, memperketat tata kelola, dan memprioritaskan ketahanan terhadap ketergantungan yang tidak aktif dipelihara.

Kesimpulan singkat
TARmageddon (CVE-2025-62518) adalah pengingat tegas bahwa masalah parsing sederhana dalam format arsip — jika berada pada komponen yang meluas penggunaannya — dapat bereskalasi menjadi celah RCE dengan dampak rantai pasokan signifikan. Langkah praktis yang bisa dilakukan sekarang adalah inventaris dependency, upgrade ke fork yang dipelihara atau hapus dependency rentan, dan menambah kontrol saat memproses arsip dari sumber eksternal.

Sumber: BleepingComputer