遠端 RockyLinux 10 主機已安裝的套件會受到 RLSA-2026：18480 公告中提及的多個弱點影響。

    * qs： qs：透過陣列剖析 （CVE-2025-15284） 中不正確的輸入驗證造成拒絕服務

    * node-tar： tar： node-tar： 透過存檔中未清理的連結路徑進行任意檔案覆寫和符號連結中毒 （CVE-2026-23745）

    * node-tar： tar： node-tar： 透過 Unicode 路徑衝突爭用情形 （CVE-2026-23950） 進行任意檔案覆寫

    * lodash：_.unset 和 _.omit 函式 （CVE-2025-13465） 中的原型污染

    * node-tar： tar： node-tar： 透過硬連結安全性檢查 （CVE-2026-24842） 中的路徑遊走繞過建立任意檔案

Tenable 已直接從 RockyLinux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 MiracleLinux 9 主機已安裝的套件會受到 AXSA：2026-1143：03 公告中提及的多個弱點影響。

    * qs： qs：透過陣列剖析 （CVE-2025-15284） 中不正確的輸入驗證造成拒絕服務
      * node-tar： tar： node-tar： 透過存檔中未清理的連結路徑進行任意檔案覆寫和符號連結中毒 （CVE-2026-23745）
      * node-tar： tar： node-tar： 透過 Unicode 路徑衝突爭用情形 （CVE-2026-23950） 進行任意檔案覆寫
      * lodash：_.unset 和 _.omit 函式中的原型污染 (CVE-2025-13465)
      * node-tar： tar： node-tar： 透過硬連結安全性檢查 （CVE-2026-24842） 中的路徑遊走繞過建立任意檔案

Tenable 已直接從 MiracleLinux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2026-1466 公告中所提及的多個弱點影響。

    node-tar 是 Node.js 的 Tar。當preservePaths 為 false (預設的安全行為) 時node-tar 程式庫 (<= 7.5.2) 無法清理連結 (固定連結) 和 SymbolicLink 項目的連結路徑。這可讓惡意封存繞過擷取 root 限制進而透過絕對符號連結目標透過固定連結導致任意檔案覆寫和符號連結毒害。此弱點已在 7.5.3 中修正。
    (CVE-2026-23745)

    在 7.5.3版及之前的所有版本中node-tar (Node.js 的 Tar) 存有一個爭用情形弱點。這是因為在 `path-reservations` 系統中未完整處理 Unicode 路徑衝突所導致。在區分大小寫或不區分標準化的檔案系統上 (例如 macOS APFS在 中對其進行了測試)程式庫無法鎖定衝突的路徑 (例如「ss」和「ss」)因此可將其平行處理。這會繞過程式庫的內部並行保護機制並允許透過爭用情形發動符號連結毒害攻擊。程式庫使用 `PathReservations` 系統確保相同路徑的詮釋資料檢查和檔案作業皆已序列化。如此可防止一個項目可能同時攻擊另一個項目的爭用情形。這是會啟用任意檔案覆寫的爭用情形。此弱點會影響在 macOS (APFS/HFS+) 上使用 node-tar 的使用者和系統。由於使用 `NFD` Unicode 標準化 (其中 `ss` 和 `ss` 是不同的)在忽略 Unicode 標準化 (例如APFS (其中 `ss` 會造成 inode與 `ss` 的衝突))。這可讓攻擊者使用惡意 tar 封存中衝突的檔案名稱規避內部平行化鎖定 (`PathReservations`)。 7.5.4 版中的修補程式更新了「path-reservations.js」以使用符合目標檔案系統行為的標準化形式 (例如「NFKD」)先是「toLocaleLowerCase('en')」然後是「toLocaleUpperCase(」) en')`。
    因使用者無法及時升級以及以程式設計方式使用「node-tar」來擷取任意 tarball 資料的使用者應篩選出所有「SymbolicLink」項目 (如 npm) 以防禦透過此檔案系統項目名稱的任意檔案寫入衝突問題。 (CVE-2026-23950)

    node-tar (Node.js 的 Tar) 在 7.5.7 之前的版本中含有一個弱點其中固定連結項目的安全性檢查使用與實際固定連結建立邏輯不同的路徑解析語意。
    此錯誤可讓攻擊者特製惡意的 TAR 封存繞過路徑遊走保護並在擷取目錄之外建立指向任意檔案的固定連結。版本 7.5.7 包含針對 問題的修正。 (CVE-2026-24842)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 10 主機中安裝的套件受到 ELSA-2026-18480 公告中提及的多個弱點影響。

    [2.26-7]
    - 修正 pccs npm 安全性缺陷

    [2.26-6]
    - 移植到 pycryptography 和 pyasn1，並將金鑰環設為選用

    [2.26-5]
    - 從 Fedora 同步 specfile 變更

    [2.26-4]
    - 從 sgx-pccs 刪除 sgx-mpa dep

    [2.26-3]
    - 新增 PCCS 的 scriptlet

    [2.26-2]
    - 在任何地方啟用 pccsadmin

    [2.26-1]
    - 更新至 SGX 2.26 / DCAP 1.23，新增 PCCS 服務

    [2.25-7]
    - 觸發 udev 在 /dev/sgx_provision 上設定權限

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 10 主機上安裝的套件受到 RHSA-2026:18480 公告中提及的多個弱點影響。

    Intel SGX SDK 是 API、程式庫、文件和工具的集合，可讓軟體開發人員以 C/C++ 建立和偵錯支援 Intel SGX 的應用程式。

    安全性修正：

    * qs： qs：透過陣列剖析 （CVE-2025-15284） 中不正確的輸入驗證造成拒絕服務

    * node-tar： tar： node-tar： 透過存檔中未清理的連結路徑進行任意檔案覆寫和符號連結中毒 （CVE-2026-23745）

    * node-tar： tar： node-tar： 透過 Unicode 路徑衝突爭用情形 （CVE-2026-23950） 進行任意檔案覆寫

    * lodash：_.unset 和 _.omit 函式 （CVE-2025-13465） 中的原型污染

    * node-tar： tar： node-tar： 透過硬連結安全性檢查 （CVE-2026-24842） 中的路徑遊走繞過建立任意檔案

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    其他變更:

    如需有關此發行版本的詳細變更資訊，請參閱可從「參照」一節連結的 Red Hat Enterprise Linux 10 版本資訊。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2026:18868 公告中提及的多個弱點影響。

    Intel SGX SDK 是 API、程式庫、文件和工具的集合，可讓軟體開發人員以 C/C++ 建立和偵錯支援 Intel SGX 的應用程式。

    安全性修正：

    * qs： qs：透過陣列剖析 （CVE-2025-15284） 中不正確的輸入驗證造成拒絕服務

    * node-tar： tar： node-tar： 透過存檔中未清理的連結路徑進行任意檔案覆寫和符號連結中毒 （CVE-2026-23745）

    * node-tar： tar： node-tar： 透過 Unicode 路徑衝突爭用情形 （CVE-2026-23950） 進行任意檔案覆寫

    * lodash：_.unset 和 _.omit 函式 （CVE-2025-13465） 中的原型污染

    * node-tar： tar： node-tar： 透過硬連結安全性檢查 （CVE-2026-24842） 中的路徑遊走繞過建立任意檔案

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    其他變更：

    如需有關此發行版本的詳細變更資訊，請參閱可從「參照」一節連結的 Red Hat Enterprise Linux 9 版本資訊。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 RockyLinux 9 主機安裝的套件會受到 RLSA-2026：18868 公告中所述多個弱點的影響。

    * qs： qs：透過陣列剖析 （CVE-2025-15284） 中不正確的輸入驗證造成拒絕服務

    * node-tar： tar： node-tar： 透過存檔中未清理的連結路徑進行任意檔案覆寫和符號連結中毒 （CVE-2026-23745）

    * node-tar： tar： node-tar： 透過 Unicode 路徑衝突爭用情形 （CVE-2026-23950） 進行任意檔案覆寫

    * lodash：_.unset 和 _.omit 函式 （CVE-2025-13465） 中的原型污染

    * node-tar： tar： node-tar： 透過硬連結安全性檢查 （CVE-2026-24842） 中的路徑遊走繞過建立任意檔案

Tenable 已直接從 RockyLinux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上執行的 Atlassian Jira Service Management Data Center and Server (Jira Service Desk) 版本受到 JSDSERVER-16529 公告中所提及的一個弱點影響。

  - node-tar (Node.js 的 Tar) 在 7.5.7 之前的版本中含有一個弱點其中固定連結項目的安全性檢查使用與實際固定連結建立邏輯不同的路徑解析語意。
    此錯誤可讓攻擊者特製惡意的 TAR 封存繞過路徑遊走保護並在擷取目錄之外建立指向任意檔案的固定連結。版本 7.5.7 包含針對 問題的修正。 (CVE-2026-24842)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - node-tar (Node.js 的 Tar) 在 7.5.7 之前的版本中含有一個弱點其中固定連結項目的安全性檢查使用與實際固定連結建立邏輯不同的路徑解析語意。
    此錯誤可讓攻擊者特製惡意的 TAR 封存繞過路徑遊走保護並在擷取目錄之外建立指向任意檔案的固定連結。版本 7.5.7 包含針對 問題的修正。 (CVE-2026-24842)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2026:33371 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 7 是一個以 WildFly 應用程式執行時間為基礎的 Java 應用程式平台。本版本 Red Hat JBoss Enterprise Application Platform 7.3.18 是 Red Hat JBoss Enterprise Application Platform 7.3.17 的替代版本，其中包含錯誤修正和增強功能。如需此公告中包含的最重要的錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.3.18 版本資訊。

    安全性修正：

    * jose4j：來自 CVEorg 收集器 (CVE-2024-29371)

    * undertow-core：Undertow HTTP Server 無法拒絕格式錯誤的主機標頭，可能導致快取毒害和 SSRF (CVE-2025-12543)

    * org.apache.cxf/cxf-core：Apache CXF：暫存檔案的拒絕服務弱點 (CVE-2025-23184)

    * undertow-core：Undertow MadeYouReset HTTP/2 DDoS 弱點 (CVE-2025-9784)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端的 Debian 11 主機安裝了一個套件，該套件受到多項漏洞影響，如 dla-4552 公告中所述。

    ------------------------------------------------------------------------- Debian LTS 諮詢 debian-lts@lists.debian.org DLA-4552-1https://www.debian.org/lts/security/Daniel Leidert 2026年4月29日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 ： node-tar 版本 ： 6.0.5+ds1+~cs11.3.9-1+deb11u3 CVE ID ： CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960 CVE-2026-29786 CVE-2026-31802

    node-tar 是一個用於讀寫可攜式 tar 檔案的Node.js模組，已被發現多項漏洞。

    CVE-2024-28863

       產生大量子資料夾可能會消耗系統記憶體，甚至在包含過多子資料夾的路徑上，幾秒鐘內導致Node.js用戶端當機。

    CVE-2026-23745

       當 preservePaths 為假時，Link（hardlink）與 SymbolicLink 條目的連結路徑無法淨化，導致惡意壓縮檔繞過擷取根限制，導致硬連結任意覆寫檔案及絕對符號連結目標的符號中毒。

       此問題的修正會引入以下多項漏洞。

    CVE-2026-24842

       硬連結條目的安全檢查允許攻擊者打造惡意的 TAR 檔案，繞過路徑穿越保護，並建立指向解壓目錄外任意檔案的硬連結。

    CVE-2026-26960

       攻擊者控制的壓縮檔可以在擷取目錄內建立一個硬連結，指向擷取根目錄外的檔案，讓解壓使用者能任意讀寫檔案。

    CVE-2026-29786

       攻擊者控制的壓縮檔可透過磁碟相對連結目標建立指向擷取目錄外的硬連結。

    CVE-2026-31802

       攻擊者控制的壓縮檔可透過磁碟相對連結目標建立指向擷取目錄外的硬連結。


    對於 Debian 11 的 bullseye，這些問題已在 6.0.5+ds1+~cs11.3.9-1+deb11u3 版本中修正。

    我們建議你升級你的 node-tar 套件。

    如需了解 node-tar 的詳細安全狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/node-tar

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機安裝了一個套件，該套件受到 dla-4712 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4712-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026 年 8 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：node-tar 版本：+ 6.1.13~cs7.0.5-1+deb12u1 CVE 識別碼： CVE-2024-28863 CVE-2026-23745 CVE-2026-26960 CVE-2026-29786

    在 node-tar 中發現多個漏洞，node-tar 是一個用於讀取和寫入可攜式 tar 檔案的Node.js模組。

    CVE-2024-28863

       產生大量子資料夾會消耗系統上的記憶體，甚至使用內部子資料夾過多的路徑在幾秒鐘內使Node.js用戶端崩潰。

    CVE-2026-23745

       當 preservePaths 為 false 時，Link （hardlink） 和 SymbolicLink 項目的連結路徑無法清理，允許惡意檔案繞過擷取根限制，導致透過硬連結進行任意檔案覆寫，並透過絕對符號連結目標進行符號連結中毒。

       此問題的修正引入了 CVE-2026-24842 和 CVE-2026-31802。
       隨後兩者都已修復。


    CVE-2026-26960

       攻擊者控制的封存可以在擷取目錄內建立指向擷取根目錄外部的檔案的硬連結，從而以擷取使用者的身分進行任意檔案讀取和寫入。

    CVE-2026-29786

       攻擊者控制的封存可以使用磁碟機相對連結目標，建立指向擷取目錄外部的硬連結。

    對於 Debian 12 書蟲，這些問題已在 +~cs7.0.5-1+deb12u1 版本 6.1.13中修復。

    我們建議您升級 node-tar 套件。

    有關 node-tar 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/node-tar

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 9 主機中安裝的套件受到 ELSA-2026-18868 公告中提及的多個弱點影響。

    [2.26-7]
    - 修正 pccs npm 安全性缺陷

    [2.26-6]
    - 移植到 pycryptography 和 pyasn1，並將金鑰環設為選用

    [2.26-5]
    - 從 Fedora 同步 specfile 變更

    [2.26-4]
    - 從 sgx-pccs 刪除 sgx-mpa dep

    [2.26-3]
    - 新增 PCCS 的 scriptlet

    [2.26-2]
    - 在任何地方啟用 pccsadmin

    [2.26-1]
    - 更新至 SGX 2.26 / DCAP 1.23，新增 PCCS 服務

    [2.25-7]
    - 觸發 udev 在 /dev/sgx_provision 上設定權限

    [2.25-6]
    - 暫時停用自動第 1 層門控

    [2.25-5]
    - 針對 SELinux 原則和 sock perms 調整 qgs.service

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 9 主機已安裝的套件會受到 CIQ crlsa-2026_18868 公告中提及的多個弱點影響。

    * qs： qs：透過陣列剖析 （CVE-2025-15284） 中不正確的輸入驗證造成拒絕服務

    * node-tar： tar： node-tar： 透過存檔中未清理的連結路徑進行任意檔案覆寫和符號連結中毒 （CVE-2026-23745）

    * node-tar： tar： node-tar： 透過 Unicode 路徑衝突爭用情形 （CVE-2026-23950） 進行任意檔案覆寫

    * lodash：_.unset 和 _.omit 函式中的原型污染 (CVE-2025-13465)

    * node-tar： tar： node-tar： 透過硬連結安全性檢查 （CVE-2026-24842） 中的路徑遊走繞過建立任意檔案

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 10.2 主機已安裝的套件會受到 CIQ crlsa-2026_18480 公告中提及的多個弱點影響。

    * qs： qs：透過陣列剖析 （CVE-2025-15284） 中不正確的輸入驗證造成拒絕服務

    * node-tar： tar： node-tar： 透過存檔中未清理的連結路徑進行任意檔案覆寫和符號連結中毒 （CVE-2026-23745）

    * node-tar： tar： node-tar： 透過 Unicode 路徑衝突爭用情形 （CVE-2026-23950） 進行任意檔案覆寫

    * lodash：_.unset 和 _.omit 函式中的原型污染 (CVE-2025-13465)

    * node-tar： tar： node-tar： 透過硬連結安全性檢查 （CVE-2026-24842） 中的路徑遊走繞過建立任意檔案

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
317966	RockyLinux 10：linux-sgx （RLSA-2026：18480）	Nessus	Rocky Linux Local Security Checks	2026/5/29	2026/5/29	high
325184	MiracleLinux 9 ： linux-sgx-2.26-7.el9 （AXSA：2026-1143：03）	Nessus	Miracle Linux Local Security Checks	2026/7/6	2026/7/6	high
301345	Amazon Linux 2023nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-1466)	Nessus	Amazon Linux Local Security Checks	2026/3/6	2026/3/6	high
327008	Oracle Linux 10 ： linux-sgx （ELSA-2026-18480）	Nessus	Oracle Linux Local Security Checks	2026/7/15	2026/7/15	high
315307	RHEL 10 ： linux-sgx （RHSA-2026:18480）	Nessus	Red Hat Local Security Checks	2026/5/19	2026/5/19	high
315374	RHEL 9 ： linux-sgx （RHSA-2026:18868）	Nessus	Red Hat Local Security Checks	2026/5/19	2026/5/19	high
317439	RockyLinux 9 ： linux-sgx （RLSA-2026：18868）	Nessus	Rocky Linux Local Security Checks	2026/5/28	2026/5/28	high
305912	Atlassian Jira Service Management Data Center and Server 5.15.2 < 10.3.18 / 10.4.x < 11.3.3 (JSDSERVER-16529)	Nessus	Misc.	2026/4/10	2026/4/10	high
297040	Linux Distros 未修補的弱點：CVE-2026-24842	Nessus	Misc.	2026/1/28	2026/11/2	high
323872	RHEL 7：Red Hat JBoss Enterprise Application Platform 7.3.18 (RHSA-2026:33371)	Nessus	Red Hat Local Security Checks	2026/6/30	2026/6/30	high
310898	Debian dla-4552 ： node-tar - 安全更新	Nessus	Debian Local Security Checks	2026/4/29	2026/4/29	high
331606	Debian dla-4712：node-tar - 安全性更新	Nessus	Debian Local Security Checks	2026/8/2	2026/8/2	high
322200	Oracle Linux 9 ： linux-sgx （ELSA-2026-18868）	Nessus	Oracle Linux Local Security Checks	2026/6/23	2026/6/23	high
353937	Rocky Linux 9 [CIQ] 安全性更新：linux-sgx-debuginfo / linux-sgx-debugsource / sgx-common / sgx-libs / etc 多個弱點（crlsa-2026_18868）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
355040	Rocky Linux 10.2 [CIQ] 安全性更新：linux-sgx-debuginfo / linux-sgx-debugsource / sgx-common / sgx-libs / etc 多個弱點（crlsa-2026_18480）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high