Decompression and Archive Extraction Vulnerabilities: A Taxonomy of 21 Attack Mechanisms Across 1,067 Public Cases (2001–2026)
Este artigo apresenta uma taxonomia unificada de 21 mecanismos de ataque e um inventário rotulado de 1.067 casos públicos (2001–2026) para classificar de forma abrangente vulnerabilidades de descompressão e extração de arquivos, revelando que o path traversal domina o cenário, ao mesmo tempo em que destaca lacunas significativas na documentação de mitigação e oferece novos recursos para pesquisas futuras.
Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
Todos os dias, o software realiza um ato silencioso e essencial: abrir pacotes digitais. Quer um usuário baixe um arquivo, instale um aplicativo ou receba um anexo de e-mail, o computador deve descompactar dados comprimidos para torná-los utilizáveis. Esse processo, conhecido como descompressão, é a chave que desbloqueia o conteúdo de um arquivo digital. No entanto, o mecanismo que abre esses pacotes pode, às vezes, falhar de maneiras perigosas. Quando um invasor envia um arquivo especialmente manipulado, o software pode ser enganado para criar uma quantidade massiva de dados a partir de uma pequena entrada, travando o sistema. Ele pode ser forçado a escrever arquivos nas pastas erradas, sobrescrevendo dados críticos do sistema. Ou, o software pode simplesmente entender mal a estrutura do arquivo, levando a uma ruptura. Essas falhas não são meros erros comuns; são uma classe persistente de falhas de segurança que ameaçam desde computadores pessoais até os servidores que mantêm a internet funcionando.
Um pesquisador chamado Eugen Spivak passou anos examinando os registros públicos dessas falhas para entender exatamente como elas acontecem. Ao analisar mais de mil casos documentados de vulnerabilidades de software, Spivak criou um novo mapa do problema. Em vez de tratar cada erro como um incidente único, o estudo os agrupa em vinte e um métodos de ataque distintos. Esses métodos dividem-se em quatro categorias principais: situações em que a saída cresce muito além da entrada, erros onde o software lê incorretamente a estrutura do arquivo, falhas onde diferentes partes do sistema interpretam o mesmo arquivo de formas distintas e erros onde o software salva arquivos no local errado. O objetivo era ir além de uma coleção dispersa de relatórios de bugs individuais e criar uma imagem clara e unificada de como esses ataques funcionam.
O estudo analisou 1.067 casos públicos dessas vulnerabilidades, coletados de bancos de dados oficiais entre 2001 e setembro de 2026. A descoberta mais impressionante é que a falha mais comum não é um truque matemático complexo ou um erro profundo de memória, mas um erro simples de onde os arquivos são salvos. Em quase 70 por cento dos casos, o software extraía arquivos para a pasta errada, permitindo que um invasor sobrescrevesse arquivos importantes do sistema ou instalasse código malicioso. Esse tipo específico de erro, frequentemente chamado de "path traversal" (travessia de caminho), ocorre quando o software não verifica adequadamente o destino de um arquivo antes de escrevê-lo. A pesquisa mostra que esse problema é encontrado com mais frequência não nas bibliotecas principais que realizam a descompactação, mas no código da aplicação que utiliza essas bibliotecas. Em outras palavras, as ferramentas em si costumam ser seguras, mas os programas que chamam as ferramentas frequentemente esquecem de estabelecer os limites apropriados.
Uma parte significativa dos casos envolve "bombas de descompressão". Estas são arquivos projetados para se expandirem em algo enorme, sobrecarregando a memória ou o armazenamento do computador. O estudo descobriu que, em muitos desses casos, o software possuía uma verificação de segurança, mas a verificação era incompleta. Ele poderia ter confiado em um número declarado dentro do próprio arquivo, ou poderia ter parado de verificar após um certo ponto do processo. Isso significa que a defesa existia, mas falhou em cobrir todos os camais possíveis que os dados poderiam seguir. A pesquisa também observou uma mudança na forma como esses ataques chegam. Embora muitos ainda venham como arquivos ou pacotes, um número crescente é agora enviado pela rede como mensagens, visando servidores e serviços online diretamente.
Apesar da frequência desses problemas, os registros públicos que os descrevem são frequentemente vagos. O estudo descobriu que em apenas cerca de 8 por cento dos casos o relatório oficial descrevia explicitamente o que a correção realmente fez. A maioria dos registros simplesmente afirmava que uma nova versão do software estava disponível, sem explicar a mudança específica que o tornou seguro. Essa falta de detalhes torna mais difícil para as equipes de segurança entender a causa raiz e proteger seus sistemas. Além disso, o estudo destacou que os registros oficiais frequentemente omitem toda uma categoria de erros onde dois softwares diferentes leem o mesmo arquivo de maneiras conflitantes. Esses "gaps semânticos" são difíceis de detectar em relatórios públicos, mas são conhecidos por serem uma ameaça real no campo.
Os dados também revelaram um aumento acentuado no número desses relatórios em 2026. No entanto, o pesquisador observa cautelosamente que este aumento reflete uma mudança na forma como as vulnerabilidades são encontradas e relatadas, e não uma explosão súbita no número de ataques ocorrendo no mundo real. O aumento pode ser devido a melhores ferramentas de detecção, mudanças na forma como os relatórios são rotulados ou uma mudança de terminologia. O que é certo é que o registro auditado mostra uma tendência clara: as falhas mais comuns e perigosas são aquelas em que o software escreve arquivos no lugar errado, e essas falhas são, na maioria das vezes, culpa do código da aplicação que envolve as ferramentas de extração.
O estudo conclui com um conjunto de recomendações práticas para as pessoas que constroem e mantêm softwares. Sugere que os desenvolvedores de bibliotecas documentem claramente o que suas ferramentas protegem e o que não protegem, e que os desenvolvedores de aplicações assumam a responsabilidade de verificar onde os arquivos são salvos. Também pede melhores padrões de relatório, instando que os avisos de segurança declarem explicitamente o que a correção faz, em vez de apenas apontar para uma nova versão. Ao fazer essas mudanças, a indústria pode passar de uma postura reativa de corrigir bugs individuais para uma abordagem proativa de compreender e prevenir os mecanismos subjacentes. O trabalho não pretende ter resolvido o problema ou testado todas as defesas possíveis, mas fornece o primeiro mapa abrangente do terreno, mostrando exatamente onde o solo tem maior probabilidade de ceder.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.