Ubuntu 20.04 ESM：Tar for Node.js 弱點 (USN-5283-1)

high Nessus Plugin ID 183590

語系：

概要

遠端 Ubuntu 主機缺少安全性更新。

說明

遠端 Ubuntu 20.04 ESM 主機上安裝的套件受到 USN-5283-1 公告中所提及的一個弱點影響。

- 6.1.2、5.0.7、4.4.15和 3.2.3 版之前的 npm 套件 tar (亦稱 node-tar) 因符號連結保護不充分，存在任意檔案建立/覆寫弱點。「node-tar」的目的是保證應用程式不會擷取任何會被符號連結修改位置的檔案。這部分是透過確保擷取的目錄不是符號連結來實現的。此外，為了防止不必要的「stat」呼叫以判斷指定路徑是否為目錄，在建立目錄時，應用程式會快取路徑。當擷取的 tar 檔案同時包含目錄以及與目錄同名的符號連結時，此邏輯是不充分的。此作業順序會導致應用程式建立目錄並將目錄新增至「node-tar」目錄快取。當目錄快取中存在目錄時，應用程式會略過後續對該目錄的 mkdir 的呼叫。但是，這也是「node-tar」檢查符號連結的地方。藉由先建立目錄，然後以符號連結取代該目錄，就可以繞過「node-tar」針對目錄的符號連結檢查，實際上，這允許未受信任的 tar 檔案以符號連結指向任意位置，然後將任意檔案解壓縮至該位置，從而允許建立和覆寫任意檔案。此問題已在 3.2.3、4.4.15、5.0.7 和 6.1.2 版中得到解決。(CVE-2021-32803)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

更新受影響的 node-tar 套件。

另請參閱

https://ubuntu.com/security/notices/USN-5283-1

Plugin 詳細資訊

嚴重性: High

ID: 183590

檔案名稱: ubuntu_USN-5283-1.nasl

版本: 1.0

類型: local

代理程式: unix

系列: Ubuntu Local Security Checks

已發布: 2023/10/20

已更新: 2023/10/20

支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus

風險資訊

VPR

風險因素: Medium

分數: 5.2

CVSS v2

風險因素: Medium

基本分數: 5.8

時間分數: 4.3

媒介: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:P

CVSS 評分資料來源: CVE-2021-32803

CVSS v3

風險因素: High

基本分數: 8.1

時間分數: 7.1

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

時間媒介: CVSS:3.0/E:U/RL:O/RC:C

弱點資訊

CPE: cpe:/o:canonical:ubuntu_linux:20.04:-:esm, p-cpe:/a:canonical:ubuntu_linux:node-tar

必要的 KB 項目: Host/cpu, Host/Ubuntu, Host/Ubuntu/release, Host/Debian/dpkg-l

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2022/2/11

弱點發布日期: 2021/8/3

參考資訊

CVE: CVE-2021-32803

USN: 5283-1