因此，它會受到 ALAS2023-2026-1566 公告中所提及的多個弱點影響。

    tar-rs 是適用於 Rust 的 tar 封存讀取/寫入程式庫。 0.4.44 版及更舊版本的條件邏輯會在基本標頭大小非零時略過 PAX 大小標頭。作為 CVE-2025-62518的一部分astral-tokio-tar 專案已變更為在 PAX 大小標頭與基本標頭不同的情況下正確接受它。這與 astral-tokio-tar 問題幾乎相反。tar 剖析器接受檔案大小方式的任何差異可用來建立由不同封存器解壓縮時顯示不同的封存。在此情況下tar-rs (Rust tar) 箱在檢查標頭大小時是異常值 - 其他 tar 剖析器 (例如 Go archive/tar) 會無條件使用 PAX 大小覆寫。這會影響使用 tar crate 剖析封存並預期與其他剖析器具有一致檢視的項目。0.4.45 版已修正此問題。(CVE-2026-33055)

    tar-rs 是適用於 Rust 的 tar 封存讀取/寫入程式庫。在 0.4.44 及之前的版本中解壓縮 tar 封存時tar 箱的 unpack_dir 函式會使用 fs::metadata() 檢查已存在的路徑是否為目錄。由於 fs::metadata() 遵循符號連結因此包含符號連結項目後跟同名目錄項目的特製 tarball會造成 crate 將符號連結目標視為有效的現有目錄 -- 並隨後對其套用 chmod。這會允許攻擊者修改擷取 root 外任意目錄的權限。0.4.45 版已修正此問題。(CVE-2026-33056)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2023cargo-c (ALAS2023-2026-1566)

medium Nessus Plugin ID 306233

版本 1.1