根據應用程式自我報告的版本，遠端 Web 伺服器上執行的 Drupal 執行個體是 7.75 之前的 7.0.x 版、8.8.12 之前的 8.8.x 版、8.9.10 之前的 8.9.x 版或 9.0.9 之前的 9.0.x 版。因此，它會受到由 Drupal 所使用的 PEAR Archive_Tar 程式庫所導致的遠端程式碼執行弱點影響。

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

遠端 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/20.10 主機上安裝的一個套件受到 USN-4654-1 公告中所提及的多個弱點影響。

  - 1.4.10 及之前的 Archive_Tar 允許未序列化攻擊，這是因為 phar: 已封鎖，但 PHAR: 未封鎖。(CVE-2020-28948)

  - 1.4.10 及之前的 Archive_Tar 中的 : // 檔案名稱清理只是為了解決 phar 攻擊，因此任何其他資料流包裝函式攻擊 (如 file: // 覆寫檔案) 仍可成功。(CVE-2020-28949)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2022:6542 公告中提及的多個弱點影響。

  - Archive_Tar：允許未序列化攻擊，原因是 phar: 已遭封鎖，但 PHAR: 並未遭到封鎖 (CVE-2020-28948)

  - Archive_Tar：不當的檔案名稱清理導致檔案覆寫 (CVE-2020-28949)

  - Archive_Tar：因符號連結檢查不充分而導致的目錄遊走 (CVE-2020-36193)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2022-6542 公告中提及的多個弱點影響。

  - 1.4.10 及之前的 Archive_Tar 允許未序列化攻擊，這是因為 phar: 已封鎖，但 PHAR: 未封鎖。(CVE-2020-28948)

  - 1.4.10 及之前的 Archive_Tar 中的 : // 檔案名稱清理只是為了解決 phar 攻擊，因此任何其他資料流包裝函式攻擊 (如 file: // 覆寫檔案) 仍可成功。(CVE-2020-28949)

  - 在 Archive_Tar 1.4.11 及之前所有版本中，Tar.php 允許使用者利用目錄遊走執行寫入作業，這是因為符號連結檢查不足所致，此問題與 CVE-2020-28948相關。(CVE-2020-36193)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在可重複使用的 PHP 元件的發行系統 php-pear 中發現一個檔案名稱清理問題。

針對 Debian 9「Stretch」，已在 1:1.10.1+submodules+notgz-9+deb9u2 版本中修正此問題。

建議您升級 php-pear 套件。

如需有關 php-pear 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/php-pear

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2022: 6541 公告中提及的多個弱點影響。

  - Archive_Tar: 允許未序列化攻擊，這是因為 phar: 已封鎖，但 PHAR: 未封鎖 (CVE-2020-28948)

  - Archive_Tar: 不當的檔案名稱清理導致檔案覆寫 (CVE-2020-28949)

  - Archive_Tar: 因符號連結檢查不充分而導致的目錄遊走 (CVE-2020-36193)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 7 主機上有一個套件受到 ELSA-2022-7340 公告中提及的多個弱點影響。

  - 1.4.10 及之前的 Archive_Tar 允許未序列化攻擊，這是因為 phar: 已封鎖，但 PHAR: 未封鎖。(CVE-2020-28948)

  - 1.4.10 及之前的 Archive_Tar 中的 : // 檔案名稱清理只是為了解決 phar 攻擊，因此任何其他資料流包裝函式攻擊 (如 file: // 覆寫檔案) 仍可成功。(CVE-2020-28949)

  - 在 Archive_Tar 1.4.11 及之前所有版本中，Tar.php 允許使用者利用目錄遊走執行寫入作業，這是因為符號連結檢查不足所致，此問題與 CVE-2020-28948相關。(CVE-2020-36193)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根據其自我報告的版本，遠端 Web 伺服器上執行的 Drupal 執行個體是 7.75 之前的 7.x 版、8.8.12 之前的 8.x 版、8.9.10 之前的 8.9.x 版或 9.0.9 之前的 9.0.x 版。因此受到多個弱點影響：

  - 1.4.10 及之前的 Archive_Tar 允許未序列化攻擊，這是因為 phar: 已封鎖，但 PHAR: 未封鎖。(CVE-2020-28948)

  - 1.4.10 及之前的 Archive_Tar 中的 : // 檔案名稱清理只是為了解決 phar 攻擊，因此任何其他資料流包裝函式攻擊 (如 file: // 覆寫檔案) 仍可成功。(CVE-2020-28949)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機上安裝的測試產品版本比測試版本舊。因此，會受到 ALAS2-2021-1584 公告中所提及的多個弱點影響。

  - 1.4.10 及之前的 Archive_Tar 允許未序列化攻擊，這是因為 phar: 已封鎖，但 PHAR: 未封鎖。(CVE-2020-28948)

  - 1.4.10 及之前的 Archive_Tar 中的 : // 檔案名稱清理只是為了解決 phar 攻擊，因此任何其他資料流包裝函式攻擊 (如 file: // 覆寫檔案) 仍可成功。(CVE-2020-28949)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機上安裝的 php7-pear 版本早於 1.10.12-4.30。因此，會受到 ALAS-2021-1466 公告中所提及的多個弱點影響。

  - 1.4.10 及之前的 Archive_Tar 允許未序列化攻擊，這是因為 phar: 已封鎖，但 PHAR: 未封鎖。(CVE-2020-28948)

  - 1.4.10 及之前的 Archive_Tar 中的 : // 檔案名稱清理只是為了解決 phar 攻擊，因此任何其他資料流包裝函式攻擊 (如 file: // 覆寫檔案) 仍可成功。(CVE-2020-28949)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機受到 GLSA-202101-23 中所述的弱點影響 (PEAR Archive_Tar：目錄遊走)

    在 PEAR Archive_Tar 中發現多個弱點。
      如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    如需詳細資料，請檢閱提及的 CVE 識別碼。
  因應措施：

    目前尚無已知的因應措施。

遠端 CentOS Linux 8 主機上安裝的多個套件受到 CESA-2022: 6542 公告中提及的多個弱點影響。

  - Archive_Tar: 允許未序列化攻擊，這是因為 phar: 已封鎖，但 PHAR: 未封鎖 (CVE-2020-28948)

  - Archive_Tar: 不當的檔案名稱清理導致檔案覆寫 (CVE-2020-28949)

  - Archive_Tar: 符號連結檢查不充分而導致目錄遊走 (CVE-2020-36193)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 Drupal 使用的 Archive_Tar PHP 模組中發現兩個弱點，如果允許惡意使用者上傳 tar 封存，則可導致任意程式碼執行。

針對 Debian 9 Stretch，已在 7.52-2+deb9u13 版本中修正這些問題。

我們建議您升級 drupal7 套件。

如需有關 drupal7 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/drupal7

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 PHP 中用於處理 tar 檔案的 PEAR Archive_Tar 套件中發現兩個弱點，遠端攻擊者可藉此執行任意程式碼或覆寫檔案。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2022:7340 公告中提及的多個弱點影響。

  - Archive_Tar：允許未序列化攻擊，原因是 phar: 已遭封鎖，但 PHAR: 並未遭到封鎖 (CVE-2020-28948)

  - Archive_Tar：不當的檔案名稱清理導致檔案覆寫 (CVE-2020-28949)

  - Archive_Tar：因符號連結檢查不充分而導致的目錄遊走 (CVE-2020-36193)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Scientific Linux 7 主機上安裝的套件受到 SLSA-2022: 7340-1 公告中提及的多個弱點影響。

  - Archive_Tar: 允許未序列化攻擊，這是因為 phar: 已封鎖，但 PHAR: 未封鎖 (CVE-2020-28948)

  - Archive_Tar: 不當的檔案名稱清理導致檔案覆寫 (CVE-2020-28949)

  - Archive_Tar：因符號連結檢查不充分而導致的目錄遊走 (CVE-2020-36193)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
112664	Drupal 8.8.x < 8.8.12 遠端程式碼執行弱點	Web App Scanning	Component Vulnerability	2020/11/30	2023/3/14	high
112665	Drupal 7.x < 7.75 遠端程式碼執行弱點	Web App Scanning	Component Vulnerability	2020/11/30	2023/3/14	high
112662	Drupal 9.0.x < 9.0.9 遠端程式碼執行弱點	Web App Scanning	Component Vulnerability	2020/11/30	2023/3/14	high
112663	Drupal 8.9.x < 8.9.10 遠端程式碼執行弱點	Web App Scanning	Component Vulnerability	2020/11/30	2023/3/14	high
143428	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：PEAR 弱點 (USN-4654-1)	Nessus	Ubuntu Local Security Checks	2020/12/2	2023/10/20	high
165187	RHEL 8：php:7.4 (RHSA-2022:6542)	Nessus	Red Hat Local Security Checks	2022/9/15	2024/4/23	high
165218	Oracle Linux 8：php：7.4 (ELSA-2022-6542)	Nessus	Oracle Linux Local Security Checks	2022/9/16	2023/3/23	high
143226	Debian DLA-2465-1：php-pear 安全性更新	Nessus	Debian Local Security Checks	2020/11/24	2022/10/14	high
165236	RHEL 8：php：7.4 (RHSA-2022：6541)	Nessus	Red Hat Local Security Checks	2022/9/17	2024/4/28	high
166936	Oracle Linux 7：php-pear (ELSA-2022-7340)	Nessus	Oracle Linux Local Security Checks	2022/11/3	2022/11/4	high
143274	Drupal 7.x < 7.75 / 8.x < 8.8.12 / 8.9.x < 8.9.10 / 9.0.x < 9.0.9 多個弱點 (SA-CORE-2020-013)	Nessus	CGI abuses	2020/11/27	2022/8/29	high
144803	Amazon Linux 2：php-pear (ALAS-2021-1584)	Nessus	Amazon Linux Local Security Checks	2021/1/7	2022/8/29	high
145000	Amazon Linux AMI：php7-pear (ALAS-2021-1466)	Nessus	Amazon Linux Local Security Checks	2021/1/14	2022/8/29	high
145432	GLSA-202101-23：PEAR Archive_Tar：目錄遊走	Nessus	Gentoo Local Security Checks	2021/1/26	2022/8/30	high
165202	CentOS 8：php：7.4 (CESA-2022: 6542)	Nessus	CentOS Local Security Checks	2022/9/15	2023/2/8	high
143336	Debian DLA-2466-1：drupal7 安全性更新	Nessus	Debian Local Security Checks	2020/11/30	2022/8/30	high
144483	Debian DSA-4817-1：php-pear - 安全性更新	Nessus	Debian Local Security Checks	2020/12/21	2022/8/30	high
166880	RHEL 7：php-pear (RHSA-2022:7340)	Nessus	Red Hat Local Security Checks	2022/11/3	2024/4/23	high
167255	Scientific Linux 安全性更新：SL7.x 上的 php-pear (noarch) (2022:7340)	Nessus	Scientific Linux Local Security Checks	2022/11/10	2022/11/11	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high