Debian dla-4552 ： node-tar - 安全更新

high Nessus Plugin ID 310898

語言:

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端的 Debian 11 主機安裝了一個套件，該套件受到多項漏洞影響，如 dla-4552 公告中所述。

------------------------------------------------------------------------- Debian LTS 諮詢 [email protected] DLA-4552-1https://www.debian.org/lts/security/Daniel Leidert 2026年4月29日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

套件： node-tar 版本： 6.0.5+ds1+~cs11.3.9-1+deb11u3 CVE ID ： CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960 CVE-2026-29786 CVE-2026-31802

node-tar 是一個用於讀寫可攜式 tar 檔案的Node.js模組，已被發現多項漏洞。

CVE-2024-28863

產生大量子資料夾可能會消耗系統記憶體，甚至在包含過多子資料夾的路徑上，幾秒鐘內導致Node.js用戶端當機。

CVE-2026-23745

當 preservePaths 為假時，Link（hardlink）與 SymbolicLink 條目的連結路徑無法淨化，導致惡意壓縮檔繞過擷取根限制，導致硬連結任意覆寫檔案及絕對符號連結目標的符號中毒。

此問題的修正會引入以下多項漏洞。

CVE-2026-24842

硬連結條目的安全檢查允許攻擊者打造惡意的 TAR 檔案，繞過路徑穿越保護，並建立指向解壓目錄外任意檔案的硬連結。

CVE-2026-26960

攻擊者控制的壓縮檔可以在擷取目錄內建立一個硬連結，指向擷取根目錄外的檔案，讓解壓使用者能任意讀寫檔案。

CVE-2026-29786

攻擊者控制的壓縮檔可透過磁碟相對連結目標建立指向擷取目錄外的硬連結。

CVE-2026-31802

攻擊者控制的壓縮檔可透過磁碟相對連結目標建立指向擷取目錄外的硬連結。

對於 Debian 11 的 bullseye，這些問題已在 6.0.5+ds1+~cs11.3.9-1+deb11u3 版本中修正。

我們建議你升級你的 node-tar 套件。

如需了解 node-tar 的詳細安全狀態，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/node-tar

有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。