遠端的 Debian 11 主機安裝了一個套件，該套件受到多項漏洞影響，如 dla-4552 公告中所述。

    ------------------------------------------------------------------------- Debian LTS 諮詢 debian-lts@lists.debian.org DLA-4552-1https://www.debian.org/lts/security/Daniel Leidert 2026年4月29日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 ： node-tar 版本 ： 6.0.5+ds1+~cs11.3.9-1+deb11u3 CVE ID ： CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960 CVE-2026-29786 CVE-2026-31802

    node-tar 是一個用於讀寫可攜式 tar 檔案的Node.js模組，已被發現多項漏洞。

    CVE-2024-28863

       產生大量子資料夾可能會消耗系統記憶體，甚至在包含過多子資料夾的路徑上，幾秒鐘內導致Node.js用戶端當機。

    CVE-2026-23745

       當 preservePaths 為假時，Link（hardlink）與 SymbolicLink 條目的連結路徑無法淨化，導致惡意壓縮檔繞過擷取根限制，導致硬連結任意覆寫檔案及絕對符號連結目標的符號中毒。

       此問題的修正會引入以下多項漏洞。

    CVE-2026-24842

       硬連結條目的安全檢查允許攻擊者打造惡意的 TAR 檔案，繞過路徑穿越保護，並建立指向解壓目錄外任意檔案的硬連結。

    CVE-2026-26960

       攻擊者控制的壓縮檔可以在擷取目錄內建立一個硬連結，指向擷取根目錄外的檔案，讓解壓使用者能任意讀寫檔案。

    CVE-2026-29786

       攻擊者控制的壓縮檔可透過磁碟相對連結目標建立指向擷取目錄外的硬連結。

    CVE-2026-31802

       攻擊者控制的壓縮檔可透過磁碟相對連結目標建立指向擷取目錄外的硬連結。


    對於 Debian 11 的 bullseye，這些問題已在 6.0.5+ds1+~cs11.3.9-1+deb11u3 版本中修正。

    我們建議你升級你的 node-tar 套件。

    如需了解 node-tar 的詳細安全狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/node-tar

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上執行的 Atlassian Jira Service Management Data Center and Server (Jira Service Desk) 版本受到 JSDSERVER-16529 公告中所提及的一個弱點影響。

  - node-tar (Node.js 的 Tar) 在 7.5.7 之前的版本中含有一個弱點其中固定連結項目的安全性檢查使用與實際固定連結建立邏輯不同的路徑解析語意。
    此錯誤可讓攻擊者特製惡意的 TAR 封存繞過路徑遊走保護並在擷取目錄之外建立指向任意檔案的固定連結。版本 7.5.7 包含針對 問題的修正。 (CVE-2026-24842)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - node-tar (Node.js 的 Tar) 在 7.5.7 之前的版本中含有一個弱點其中固定連結項目的安全性檢查使用與實際固定連結建立邏輯不同的路徑解析語意。
    此錯誤可讓攻擊者特製惡意的 TAR 封存繞過路徑遊走保護並在擷取目錄之外建立指向任意檔案的固定連結。版本 7.5.7 包含針對 問題的修正。 (CVE-2026-24842)

請注意，Nessus 依賴供應商報告的套件存在。

因此，會受到 ALAS2023-2026-1466 公告中所提及的多個弱點影響。

    node-tar 是 Node.js 的 Tar。當preservePaths 為 false (預設的安全行為) 時node-tar 程式庫 (<= 7.5.2) 無法清理連結 (固定連結) 和 SymbolicLink 項目的連結路徑。這可讓惡意封存繞過擷取 root 限制進而透過絕對符號連結目標透過固定連結導致任意檔案覆寫和符號連結毒害。此弱點已在 7.5.3 中修正。
    (CVE-2026-23745)

    在 7.5.3版及之前的所有版本中node-tar (Node.js 的 Tar) 存有一個爭用情形弱點。這是因為在 `path-reservations` 系統中未完整處理 Unicode 路徑衝突所導致。在區分大小寫或不區分標準化的檔案系統上 (例如 macOS APFS在 中對其進行了測試)程式庫無法鎖定衝突的路徑 (例如「ss」和「ss」)因此可將其平行處理。這會繞過程式庫的內部並行保護機制並允許透過爭用情形發動符號連結毒害攻擊。程式庫使用 `PathReservations` 系統確保相同路徑的詮釋資料檢查和檔案作業皆已序列化。如此可防止一個項目可能同時攻擊另一個項目的爭用情形。這是會啟用任意檔案覆寫的爭用情形。此弱點會影響在 macOS (APFS/HFS+) 上使用 node-tar 的使用者和系統。由於使用 `NFD` Unicode 標準化 (其中 `ss` 和 `ss` 是不同的)在忽略 Unicode 標準化 (例如APFS (其中 `ss` 會造成 inode與 `ss` 的衝突))。這可讓攻擊者使用惡意 tar 封存中衝突的檔案名稱規避內部平行化鎖定 (`PathReservations`)。 7.5.4 版中的修補程式更新了「path-reservations.js」以使用符合目標檔案系統行為的標準化形式 (例如「NFKD」)先是「toLocaleLowerCase('en')」然後是「toLocaleUpperCase(」) en')`。
    因使用者無法及時升級以及以程式設計方式使用「node-tar」來擷取任意 tarball 資料的使用者應篩選出所有「SymbolicLink」項目 (如 npm) 以防禦透過此檔案系統項目名稱的任意檔案寫入衝突問題。 (CVE-2026-23950)

    node-tar (Node.js 的 Tar) 在 7.5.7 之前的版本中含有一個弱點其中固定連結項目的安全性檢查使用與實際固定連結建立邏輯不同的路徑解析語意。
    此錯誤可讓攻擊者特製惡意的 TAR 封存繞過路徑遊走保護並在擷取目錄之外建立指向任意檔案的固定連結。版本 7.5.7 包含針對 問題的修正。 (CVE-2026-24842)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
310898	Debian dla-4552 ： node-tar - 安全更新	Nessus	Debian Local Security Checks	2026/4/29	2026/4/29	high
305912	Atlassian Jira Service Management Data Center and Server 5.15.2 < 10.3.18 / 10.4.x < 11.3.3 (JSDSERVER-16529)	Nessus	Misc.	2026/4/10	2026/4/10	high
297040	Linux Distros 未修補的弱點：CVE-2026-24842	Nessus	Misc.	2026/1/28	2026/4/29	high
301345	Amazon Linux 2023nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-1466)	Nessus	Amazon Linux Local Security Checks	2026/3/6	2026/3/6	high

偵測

搜尋 Plugin

high

high

high

high