Phaser3-RPG: HTML5角色扮演游戏久拿 #1
Description
sp1-sdk
Have you ensured that all of these are up to date?
SP1 SDK
cargo prove CLI/sp1up
What version of SP1 SDK are you on?
No response
What version of the cargo prove CLI are you on?
No response
Operating System
None
Describe the bug
Context: crates/sdk/src/install.rs
Severity: HIGH
Description
install_circuit_artifacts downloads a remote .tar.gz and extracts it by invoking tar with -P (preserve absolute paths) and without any checks to restrict archive entries to build_dir.
A malicious archive can contain absolute paths (e.g., /etc/cron.d/...) and/or ../ traversal paths and will be written outside the intended directory when extracted, resulting in arbitrary file overwrite on the machine running the installer.
Realistic exploit path:
If the S3 bucket/object is compromised (or a malicious artifact is served under the expected name), running any SDK flow that triggers try_install_circuit_artifacts will download and extract the attacker-controlled tarball, overwriting user files (e.g., ~/.bashrc, ~/.ssh/authorized_keys) or system files when run with elevated privileges, potentially leading to code execution/persistence.
Impacted code
let mut res = Command::new("tar")
.args([
"-Pxzf",
artifacts_tar_gz_file.path().to_str().unwrap(),
"-C",
build_dir.to_str().unwrap(),
])
.spawn()
.expect("failed to extract tarball");
res.wait().unwrap();
<a herf="book.bxjshri.cn/blog/914133.PDF
<a herf="book.bxjshri.cn/blog/405583.PDF
<a herf="book.bxjshri.cn/blog/502326.PDF
<a herf="book.bxjshri.cn/blog/623458.PDF
<a herf="book.bxjshri.cn/blog/200313.PDF
<a herf="book.bxjshri.cn/blog/092925.PDF
<a herf="book.bxjshri.cn/blog/988923.PDF
<a herf="book.bxjshri.cn/blog/285407.PDF
<a herf="book.bxjshri.cn/blog/495259.PDF
<a herf="book.bxjshri.cn/blog/813466.PDF
<a herf="book.bxjshri.cn/blog/466880.PDF
<a herf="book.bxjshri.cn/blog/021587.PDF
<a herf="book.bxjshri.cn/blog/322888.PDF
<a herf="book.bxjshri.cn/blog/765186.PDF
<a herf="book.bxjshri.cn/blog/657702.PDF
<a herf="book.bxjshri.cn/blog/500965.PDF
<a herf="book.bxjshri.cn/blog/762136.PDF
<a herf="book.bxjshri.cn/blog/543171.PDF
<a herf="book.bxjshri.cn/blog/473633.PDF
<a herf="book.bxjshri.cn/blog/132817.PDF
<a herf="book.bxjshri.cn/blog/777746.PDF
<a herf="book.bxjshri.cn/blog/166879.PDF
<a herf="book.bxjshri.cn/blog/176914.PDF
<a herf="book.bxjshri.cn/blog/147972.PDF
<a herf="book.bxjshri.cn/blog/792001.PDF
<a herf="book.bxjshri.cn/blog/709684.PDF
<a herf="book.bxjshri.cn/blog/211775.PDF
<a herf="book.bxjshri.cn/blog/394404.PDF
<a herf="book.bxjshri.cn/blog/333628.PDF
<a herf="book.bxjshri.cn/blog/466292.PDF
<a herf="book.bxjshri.cn/blog/803776.PDF
<a herf="book.bxjshri.cn/blog/194490.PDF
<a herf="book.bxjshri.cn/blog/025865.PDF
<a herf="book.bxjshri.cn/blog/176262.PDF
<a herf="book.bxjshri.cn/blog/474044.PDF
<a herf="book.bxjshri.cn/blog/069958.PDF
<a herf="book.bxjshri.cn/blog/176847.PDF
<a herf="book.bxjshri.cn/blog/911473.PDF
<a herf="book.bxjshri.cn/blog/403268.PDF
<a herf="book.bxjshri.cn/blog/364230.PDF
<a herf="book.bxjshri.cn/blog/841311.PDF
<a herf="book.bxjshri.cn/blog/113678.PDF
<a herf="book.bxjshri.cn/blog/654735.PDF
<a herf="book.bxjshri.cn/blog/709296.PDF
<a herf="book.bxjshri.cn/blog/508182.PDF
<a herf="book.bxjshri.cn/blog/375727.PDF
<a herf="book.bxjshri.cn/blog/680598.PDF
<a herf="book.bxjshri.cn/blog/921520.PDF
<a herf="book.bxjshri.cn/blog/925772.PDF
<a herf="book.bxjshri.cn/blog/706854.PDF
<a herf="book.bxjshri.cn/blog/543000.PDF
<a herf="book.bxjshri.cn/blog/408038.PDF
<a herf="book.bxjshri.cn/blog/284454.PDF
<a herf="book.bxjshri.cn/blog/800982.PDF
<a herf="book.bxjshri.cn/blog/092349.PDF
<a herf="book.bxjshri.cn/blog/699940.PDF
<a herf="book.bxjshri.cn/blog/957652.PDF
<a herf="book.bxjshri.cn/blog/687277.PDF
<a herf="book.bxjshri.cn/blog/440903.PDF
<a herf="book.bxjshri.cn/blog/116966.PDF
<a herf="book.bxjshri.cn/blog/176574.PDF
<a herf="book.bxjshri.cn/blog/325183.PDF
<a herf="book.bxjshri.cn/blog/993366.PDF
<a herf="book.bxjshri.cn/blog/840994.PDF
<a herf="book.bxjshri.cn/blog/656335.PDF
<a herf="book.bxjshri.cn/blog/325673.PDF
<a herf="book.bxjshri.cn/blog/981814.PDF
<a herf="book.bxjshri.cn/blog/540707.PDF
<a herf="book.bxjshri.cn/blog/284758.PDF
<a herf="book.bxjshri.cn/blog/875364.PDF
<a herf="book.bxjshri.cn/blog/217833.PDF
<a herf="book.bxjshri.cn/blog/229587.PDF
<a herf="book.bxjshri.cn/blog/732111.PDF
<a herf="book.bxjshri.cn/blog/873055.PDF
<a herf="book.bxjshri.cn/blog/350785.PDF
<a herf="book.bxjshri.cn/blog/095028.PDF
<a herf="book.bxjshri.cn/blog/580402.PDF
<a herf="book.bxjshri.cn/blog/730329.PDF
<a herf="book.bxjshri.cn/blog/136573.PDF
<a herf="book.bxjshri.cn/blog/544772.PDF
<a herf="book.bxjshri.cn/blog/578925.PDF
<a herf="book.bxjshri.cn/blog/518362.PDF
<a herf="book.bxjshri.cn/blog/570957.PDF
<a herf="book.bxjshri.cn/blog/733345.PDF
<a herf="book.bxjshri.cn/blog/052814.PDF
<a herf="book.bxjshri.cn/blog/957999.PDF
<a herf="book.bxjshri.cn/blog/848154.PDF
<a herf="book.bxjshri.cn/blog/769566.PDF
<a herf="book.bxjshri.cn/blog/494175.PDF
<a herf="book.bxjshri.cn/blog/496131.PDF
<a herf="book.bxjshri.cn/blog/406917.PDF
<a herf="book.bxjshri.cn/blog/577607.PDF
<a herf="book.bxjshri.cn/blog/218377.PDF
<a herf="book.bxjshri.cn/blog/214549.PDF
<a herf="book.bxjshri.cn/blog/274032.PDF
<a herf="book.bxjshri.cn/blog/588794.PDF
<a herf="book.bxjshri.cn/blog/422516.PDF
<a herf="book.bxjshri.cn/blog/432217.PDF
<a herf="book.bxjshri.cn/blog/738255.PDF
<a herf="book.bxjshri.cn/blog/211963.PDF
<a herf="book.bxjshri.cn/blog/511713.PDF
<a herf="book.bxjshri.cn/blog/137704.PDF
<a herf="book.bxjshri.cn/blog/733099.PDF
<a herf="book.bxjshri.cn/blog/363285.PDF
<a herf="book.bxjshri.cn/blog/766348.PDF
<a herf="book.bxjshri.cn/blog/951616.PDF
<a herf="book.bxjshri.cn/blog/635251.PDF
<a herf="book.bxjshri.cn/blog/740767.PDF
<a herf="book.bxjshri.cn/blog/339312.PDF
<a herf="book.bxjshri.cn/blog/624817.PDF
<a herf="book.bxjshri.cn/blog/368638.PDF
<a herf="book.bxjshri.cn/blog/796018.PDF
<a herf="book.bxjshri.cn/blog/842533.PDF
<a herf="book.bxjshri.cn/blog/434820.PDF
<a herf="book.bxjshri.cn/blog/279079.PDF
<a herf="book.bxjshri.cn/blog/998812.PDF
<a herf="book.bxjshri.cn/blog/925245.PDF
<a herf="book.bxjshri.cn/blog/108059.PDF
<a herf="book.bxjshri.cn/blog/875343.PDF
<a herf="book.bxjshri.cn/blog/118889.PDF
<a herf="book.bxjshri.cn/blog/409840.PDF
<a herf="book.bxjshri.cn/blog/801930.PDF
<a herf="book.bxjshri.cn/blog/843332.PDF
<a herf="book.bxjshri.cn/blog/698194.PDF
<a herf="book.bxjshri.cn/blog/099505.PDF
<a herf="book.bxjshri.cn/blog/022076.PDF
<a herf="book.bxjshri.cn/blog/546902.PDF
<a herf="book.bxjshri.cn/blog/770351.PDF
<a herf="book.bxjshri.cn/blog/113696.PDF
<a herf="book.bxjshri.cn/blog/620377.PDF
<a herf="book.bxjshri.cn/blog/117729.PDF
<a herf="book.bxjshri.cn/blog/503677.PDF
<a herf="book.bxjshri.cn/blog/692488.PDF
<a herf="book.bxjshri.cn/blog/326698.PDF
<a herf="book.bxjshri.cn/blog/588587.PDF
<a herf="book.bxjshri.cn/blog/394470.PDF
<a herf="book.bxjshri.cn/blog/512252.PDF
<a herf="book.bxjshri.cn/blog/985072.PDF
<a herf="book.bxjshri.cn/blog/925951.PDF
<a herf="book.bxjshri.cn/blog/062944.PDF
<a herf="book.bxjshri.cn/blog/665866.PDF
<a herf="book.bxjshri.cn/blog/688358.PDF
<a herf="book.bxjshri.cn/blog/171037.PDF
<a herf="book.bxjshri.cn/blog/132260.PDF
<a herf="book.bxjshri.cn/blog/258307.PDF
<a herf="book.bxjshri.cn/blog/106942.PDF
<a herf="book.bxjshri.cn/blog/546256.PDF
<a herf="book.bxjshri.cn/blog/060508.PDF
<a herf="book.bxjshri.cn/blog/527049.PDF
<a herf="book.bxjshri.cn/blog/321139.PDF
<a herf="book.bxjshri.cn/blog/320608.PDF
<a herf="book.bxjshri.cn/blog/140701.PDF
<a herf="book.bxjshri.cn/blog/507989.PDF
<a herf="book.bxjshri.cn/blog/454786.PDF
<a herf="book.bxjshri.cn/blog/482457.PDF
<a herf="book.bxjshri.cn/blog/440345.PDF
<a herf="book.bxjshri.cn/blog/518704.PDF
<a herf="book.bxjshri.cn/blog/361186.PDF
<a herf="book.bxjshri.cn/blog/695186.PDF
<a herf="book.bxjshri.cn/blog/554771.PDF
<a herf="book.bxjshri.cn/blog/255426.PDF
<a herf="book.bxjshri.cn/blog/805897.PDF
<a herf="book.bxjshri.cn/blog/958896.PDF
<a herf="book.bxjshri.cn/blog/362823.PDF
<a herf="book.bxjshri.cn/blog/195187.PDF
<a herf="book.bxjshri.cn/blog/547449.PDF
<a herf="book.bxjshri.cn/blog/947411.PDF
<a herf="book.bxjshri.cn/blog/435512.PDF
<a herf="book.bxjshri.cn/blog/984589.PDF
<a herf="book.bxjshri.cn/blog/073948.PDF
<a herf="book.bxjshri.cn/blog/215881.PDF
<a herf="book.bxjshri.cn/blog/762247.PDF
<a herf="book.bxjshri.cn/blog/929908.PDF
<a herf="book.bxjshri.cn/blog/176623.PDF
<a herf="book.bxjshri.cn/blog/625259.PDF
<a herf="book.bxjshri.cn/blog/778265.PDF
<a herf="book.bxjshri.cn/blog/065736.PDF
<a herf="book.bxjshri.cn/blog/413958.PDF
<a herf="book.bxjshri.cn/blog/511685.PDF
<a herf="book.bxjshri.cn/blog/924253.PDF
<a herf="book.bxjshri.cn/blog/947760.PDF
<a herf="book.bxjshri.cn/blog/951595.PDF
<a herf="book.bxjshri.cn/blog/994901.PDF
<a herf="book.bxjshri.cn/blog/980610.PDF
<a herf="book.bxjshri.cn/blog/443308.PDF
<a herf="book.bxjshri.cn/blog/952746.PDF
<a herf="book.bxjshri.cn/blog/167373.PDF
<a herf="book.bxjshri.cn/blog/817008.PDF
<a herf="book.bxjshri.cn/blog/461663.PDF
<a herf="book.bxjshri.cn/blog/140230.PDF
<a herf="book.bxjshri.cn/blog/187672.PDF
<a herf="book.bxjshri.cn/blog/305005.PDF
<a herf="book.bxjshri.cn/blog/406051.PDF
<a herf="book.bxjshri.cn/blog/339882.PDF
<a herf="book.bxjshri.cn/blog/761515.PDF
<a herf="book.bxjshri.cn/blog/008897.PDF
<a herf="book.bxjshri.cn/blog/995997.PDF
<a herf="book.bxjshri.cn/blog/985475.PDF
<a herf="book.bxjshri.cn/blog/777586.PDF
<a herf="book.bxjshri.cn/blog/625855.PDF
<a herf="book.bxjshri.cn/blog/005195.PDF
<a herf="book.bxjshri.cn/blog/362144.PDF
<a herf="book.bxjshri.cn/blog/698693.PDF
<a herf="book.bxjshri.cn/blog/142863.PDF
<a herf="book.bxjshri.cn/blog/099174.PDF
<a herf="book.bxjshri.cn/blog/407956.PDF
<a herf="book.bxjshri.cn/blog/322013.PDF
<a herf="book.bxjshri.cn/blog/587353.PDF
<a herf="book.bxjshri.cn/blog/103963.PDF
<a herf="book.bxjshri.cn/blog/848374.PDF
<a herf="book.bxjshri.cn/blog/558785.PDF
<a herf="book.bxjshri.cn/blog/544319.PDF
<a herf="book.bxjshri.cn/blog/640837.PDF
<a herf="book.bxjshri.cn/blog/566369.PDF
<a herf="book.bxjshri.cn/blog/651825.PDF
<a herf="book.bxjshri.cn/blog/303904.PDF
<a herf="book.bxjshri.cn/blog/760669.PDF
<a herf="book.bxjshri.cn/blog/064455.PDF
<a herf="book.bxjshri.cn/blog/243305.PDF
<a herf="book.bxjshri.cn/blog/170211.PDF
<a herf="book.bxjshri.cn/blog/352603.PDF
<a herf="book.bxjshri.cn/blog/662170.PDF
<a herf="book.bxjshri.cn/blog/622421.PDF
<a herf="book.bxjshri.cn/blog/833288.PDF
<a herf="book.bxjshri.cn/blog/846603.PDF
<a herf="book.bxjshri.cn/blog/135825.PDF
<a herf="book.bxjshri.cn/blog/924827.PDF
<a herf="book.bxjshri.cn/blog/572755.PDF
<a herf="book.bxjshri.cn/blog/425370.PDF
<a herf="book.bxjshri.cn/blog/034281.PDF
<a herf="book.bxjshri.cn/blog/441530.PDF
<a herf="book.bxjshri.cn/blog/792237.PDF
<a herf="book.bxjshri.cn/blog/997045.PDF
<a herf="book.bxjshri.cn/blog/100950.PDF
<a herf="book.bxjshri.cn/blog/924344.PDF
<a herf="book.bxjshri.cn/blog/791354.PDF
<a herf="book.bxjshri.cn/blog/321185.PDF
<a herf="book.bxjshri.cn/blog/981231.PDF
<a herf="book.bxjshri.cn/blog/325108.PDF
<a herf="book.bxjshri.cn/blog/761334.PDF
<a herf="book.bxjshri.cn/blog/795150.PDF
<a herf="book.bxjshri.cn/blog/766605.PDF
<a herf="book.bxjshri.cn/blog/394664.PDF
<a herf="book.bxjshri.cn/blog/835555.PDF
<a herf="book.bxjshri.cn/blog/946522.PDF
<a herf="book.bxjshri.cn/blog/737020.PDF
<a herf="book.bxjshri.cn/blog/916219.PDF
<a herf="book.bxjshri.cn/blog/086942.PDF
<a herf="book.bxjshri.cn/blog/240936.PDF
<a herf="book.bxjshri.cn/blog/809090.PDF
<a herf="book.bxjshri.cn/blog/368464.PDF
<a herf="book.bxjshri.cn/blog/384299.PDF
<a herf="book.bxjshri.cn/blog/192413.PDF
<a herf="book.bxjshri.cn/blog/618829.PDF
<a herf="book.bxjshri.cn/blog/299114.PDF
<a herf="book.bxjshri.cn/blog/369489.PDF
<a herf="book.bxjshri.cn/blog/128171.PDF
<a herf="book.bxjshri.cn/blog/977299.PDF
<a herf="book.bxjshri.cn/blog/210186.PDF
<a herf="book.bxjshri.cn/blog/210393.PDF
<a herf="book.bxjshri.cn/blog/080608.PDF
<a herf="book.bxjshri.cn/blog/245789.PDF
<a herf="book.bxjshri.cn/blog/751307.PDF
<a herf="book.bxjshri.cn/blog/045953.PDF
<a herf="book.bxjshri.cn/blog/114755.PDF
<a herf="book.bxjshri.cn/blog/072901.PDF
<a herf="book.bxjshri.cn/blog/006349.PDF
<a herf="book.bxjshri.cn/blog/995867.PDF
<a herf="book.bxjshri.cn/blog/400016.PDF
<a herf="book.bxjshri.cn/blog/468285.PDF
<a herf="book.bxjshri.cn/blog/663500.PDF
<a herf="book.bxjshri.cn/blog/110203.PDF
<a herf="book.bxjshri.cn/blog/662266.PDF
<a herf="book.bxjshri.cn/blog/180775.PDF
<a herf="book.bxjshri.cn/blog/099205.PDF
<a herf="book.bxjshri.cn/blog/955502.PDF
<a herf="book.bxjshri.cn/blog/445823.PDF
<a herf="book.bxjshri.cn/blog/626534.PDF
<a herf="book.bxjshri.cn/blog/511302.PDF
<a herf="book.bxjshri.cn/blog/257758.PDF
<a herf="book.bxjshri.cn/blog/955526.PDF
<a herf="book.bxjshri.cn/blog/432869.PDF
<a herf="book.bxjshri.cn/blog/360459.PDF
<a herf="book.bxjshri.cn/blog/091419.PDF
<a herf="book.bxjshri.cn/blog/777249.PDF
<a herf="book.bxjshri.cn/blog/275587.PDF
<a herf="book.bxjshri.cn/blog/466824.PDF
<a herf="book.bxjshri.cn/blog/108153.PDF
<a herf="book.bxjshri.cn/blog/982215.PDF
<a herf="book.bxjshri.cn/blog/039270.PDF
<a herf="book.bxjshri.cn/blog/692489.PDF
<a herf="book.bxjshri.cn/blog/773682.PDF
<a herf="book.bxjshri.cn/blog/133151.PDF
<a herf="book.bxjshri.cn/blog/916623.PDF
<a herf="book.bxjshri.cn/blog/382819.PDF
<a herf="book.bxjshri.cn/blog/092978.PDF
<a herf="book.bxjshri.cn/blog/621995.PDF
<a herf="book.bxjshri.cn/blog/025728.PDF
<a herf="book.bxjshri.cn/blog/187557.PDF
<a herf="book.bxjshri.cn/blog/896234.PDF
链接vpn后无法访问域名网页，输入ip可以访问，但是输入域名无法访问，使用cmd域名解析也是正常的，就是浏览器输入域名打不开网页，显示域名无法解析，初步怀疑室ulr导致的，能否提供一个如果修改sci的方法