文章总结： 安全专家披露CPythontarfile模块高危漏洞CVE-2026-11940，CVSS评分7.8。该漏洞通过恶意硬链接组合符号链接实现目录遍历攻击，可读写目标目录外文件，是对CVE-2025-4330补丁的绕过。建议立即更新Python版本，避免解压不受信任tar文件并限制解压权限。 综合评分： 82 文章分类： 漏洞分析,漏洞预警,应用安全,安全建设,解决方案

CPython Tarfile 漏洞致系统面临风险

sec随谈 sec随谈

sec随谈

2026年6月29日 09:23 北京

在小说阅读器读本章

去阅读

摘要

安全专家披露了 Python 中的一个高危漏洞（CVE-2026-11940）。这个严重的 CPython tarfile 漏洞允许在解压归档文件时发起目录遍历（directory traversal）攻击。因此，攻击者能够读取或写入预定目标目录之外的文件。

影响为何重大

该问题的 CVSS 评分为 7.8。自动解压不受信任归档文件的应用程序面临严重风险。黑客可能覆盖关键的系统文件，或者窃取敏感的应用程序数据。目前尚不存在公开的概念验证（PoC）。此外，厂商尚未确认该漏洞已在野外被实际利用。受影响的安装实例的确切数量仍不清楚。

攻击如何实现

该漏洞影响 tarfile.extractall() 函数。具体而言，它会绕过 ‘data’ 或 ‘tar’ 安全过滤器。攻击者构造一个包含特定硬链接（hardlink）的恶意归档文件，该硬链接指向一个层级更深的符号链接（symbolic link）。解压回退机制会在符号链接的原始深度处对其进行验证，但却在层级更浅的硬链接路径处重建该符号链接。因此，一个相对目标得以逃逸出目标文件夹。最终，这便创建出一个位于目标目录之外的符号链接。

受影响的版本

该漏洞实际上是对一个旧漏洞的不完整修复。具体而言，它绕过了此前针对 CVE-2025-4330 的补丁。所有使用了存在漏洞的解压过滤器的 Python 版本均受影响。

补丁与缓解措施

开发者必须立即更新其 Python 环境。你可以阅读官方的 Python 安全公告以获取具体的补丁发布详情。在打补丁之前，系统应避免解压不受信任的 tar 归档文件。管理员还须在可能的情况下限制文件解压权限。

参考链接：

https://mail.python.org/archives/list/[email protected]/thread/LD6QIISNQFQYOIEPJNEUIPV7S3V76FZH/

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈 sec随谈《CPython Tarfile 漏洞致系统面临风险》