CVE-2021-33644 libtar: out-of-bounds read GNU long-name

CVE-2021-33644 identifica un out-of-bounds read in libtar, libreria per parsing e manipolazione di archivi tar. La vulnerabilità si innesca quando un attaccante fornisce un file tar crafted dove il field size nello header della struct è impostato a 0. Questa condizione causa l'invocazione di malloc(0) per la variabile gnu_longname, portando a una lettura oltre i limiti della memoria allocata. Libtar è utilizzato comunemente in tool di deployment, backup e gestione pacchetti software, rendendo rilevante il rischio per amministratori di sistema.

Il CVSS ufficiale è 8,1 (high), indicando impatto significativo. La vulnerabilità è pubblica dal 10 agosto 2022. Un segnale rilevante proviene da un repository GitHub aggiornato al 4 novembre 2026 che segnala una correzione incompleta della fix precedente per CVE-2021-33643 e CVE-2021-33644. Questo dato suggerisce che la vulnerabilità non è ancora completamente risolta nonostante i tentativi di patch, mantenendo il rischio attuale per chi utilizza versioni precedenti non aggiornate.

I sysadmin devono verificare urgentemente quale versione di libtar è in uso nei sistemi di production, specialmente in tool di deployment e backup. Consultare gli advisory ufficiali del progetto libtar e applicare la patch più recente disponibile. Implementare validation su file tar in input, rifiutare file con parametri anomali in header come size 0. Testare le correzioni in ambiente controllato prima di deployment in production, utilizzando file tar malformati per validare l'efficacia della fix.