Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 4.4.18、5.0.10、6.1.9 版之前的 npm 套件 tar (亦稱 node-tar) 存在任意檔案建立/覆寫和任意程式碼執行弱點。「node-tar」的目的是保證應用程式不會擷取任何會被符號連結修改位置的檔案。這部分是透過確保擷取的目錄不是符號連結來實現的。此外，為了防止不必要的「stat」呼叫以判斷指定路徑是否為目錄，在建立目錄時，應用程式會快取路徑。
    當擷取的 tar 檔案同時包含目錄以及符號連結 (其名稱包含標準化為相同值的 unicode 值) 時，此邏輯是不充分的。此外，在 Windows 系統上，長路徑部分會解析為其 8.3 對應短路徑的相同檔案系統實體。因此，特製的 tar 封存可包含具有一種形式路徑的目錄，隨後是具有解析為相同檔案系統實體的不同字串的符號連結，之後是使用第一種形式的檔案。藉由先建立目錄，然後以符號連結 (具有不同的明顯名稱，且解析為檔案系統中的相同條目) 取代該目錄，就可以繞過「node-tar」針對目錄的符號連結檢查，實際上，這允許未受信任的 tar 檔案以符號連結指向任意位置，然後將任意檔案解壓縮至該位置，從而允許建立和覆寫任意檔案。這些問題已在 4.4.18、5.0.10、6.1.9 版中得到解決。
    node-tar 的 v3 分支已過時，且未收到這些問題的修補程式。如果您仍在使用 v3 版本，我們建議您更新至較新的 node-tar 版本。如果無法執行此操作，請參閱 GHSA-qq89-hq3f-393p 中的因應措施。(CVE-2021-37712)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補的弱點：CVE-2021-37712

high Nessus Plugin ID 252558

版本 1.8