Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 4.4.16、5.0.8、6.1.7 版之前的 npm 套件 tar (亦稱 node-tar) 存在任意檔案建立/覆寫和任意程式碼執行弱點。「node-tar」的目的是保證應用程式不會擷取任何會被符號連結修改位置的檔案。這部分是透過確保擷取的目錄不是符號連結來實現的。此外，為了防止不必要的「stat」呼叫以判斷指定路徑是否為目錄，在建立目錄時，應用程式會快取路徑。
    在 posix 系統上，封存項目中的符號連結和目錄名稱使用反斜線作為路徑分隔符號，當擷取含有目錄和同名符號連結的 tar 檔案時，此邏輯是不充分的。快取檢查邏輯同時使用 `\` 和 `/` 字元作為路徑分隔符號，不過 `\` 在 posix 系統上是有效的檔案名稱字元。藉由先建立目錄，然後以符號連結取代該目錄，就可以繞過「node-tar」針對目錄的符號連結檢查，實際上，這允許未受信任的 tar 檔案以符號連結指向任意位置，然後將任意檔案解壓縮至該位置，從而允許建立和覆寫任意檔案。此外，不區分大小寫的檔案系統也會發生類似的混淆。如果 tar 封存包含 `FOO` 的目錄，後跟名為 `foo` 的符號連結，則在不區分大小寫的檔案系統上建立符號連結時，即會從檔案系統移除目錄，但不會從內部目錄移除快取，因為該建立進程不會被視為快取命中。`FOO` 目錄中的後續檔案項目會被放置在符號連結的目標中，並認為該目錄已經建立。這些問題已在 4.4.16、5.0.8、6.1.7 版中得到解決。node-tar 的 v3 分支已過時，且未收到這些問題的修補程式。如果您仍在使用 v3 版本，我們建議您更新至較新的 node-tar 版本。
    如果無法執行此操作，請參閱 GHSA-9r2w-394v-53qc 中的因應措施。(CVE-2021-37701)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補的弱點：CVE-2021-37701

high Nessus Plugin ID 252546

版本 1.3

版本 1.1

版本 1.3 Jun 23, 2026, 12:45 PM CVSS temporal metrics ("CVSSv2 temporal vector" set to "CVSS2#E:U/RL:U/RC:C") CVSS temporal metrics ("CVSSv3 temporal vector" set to "CVSS:3.0/E:U/RL:U/RC:C") Detection (updated detection logic) Plugin Feed: 202606231245
版本 1.1 Aug 20, 2025, 11:22 PM New Plugin Feed: 202508202322