В написанной на языке Rust библиотеке [ async-tar ](
https://github.com/dignifiedquire/async-tar ) , предоставляющей функции для чтения и записи tar-архивов, [ выявлена ](
https://edera.dev/stories/tarmageddon ) уязвимость (CVE-2025-62518, кодовое имя TARmageddon), позволяющая при распаковке специально оформленного tar-архива не только извлечь размещённые в нём файлы, но и файлы, содержащиеся во вложенном tar-архиве. Уязвимость может быть использована для обхода систем верификации архивов и распаковки файлов, для которых не выполнялась проверка.
Уязвимость также проявляется в форках библиотеки [ async-tar ](
https://crates.io/crates/async-tar ) , таких как [ tokio-tar ](
https://crates.io/crates/tokio-tar ) , [ krata-tokio-tar ](
https://crates.io/crates/krata-tokio-tar ) и [ astral-tokio-tar ](
https://crates.io/crates/astral-tokio-tar ) , а также в утилитах на их основе, например, в пакетном менеджере [ uv ](
https://github.com/astral-sh/uv ) , развиваемом в качестве высокопроизводительной замены «pip» для проектов на языке Python. Из популярных проектов, использующих уязвимые библиотеки, также отмечаются инструментарий [ testcontainers ](
https://crates.io/crates/testcontainers ) для запуска docker-контейнеров и WebAssembly runtime [ wasmCloud ](
https://crates.io/crates/wasmcloud ) . В репозитории crates.is за последние 90 дней библиотека async-tar насчитывает 1.3 млн загрузок, tokio-tar - 2.2 млн, testcontainers - 2.9 млн. ...
[>>>]