Ubuntu 20.04 ESM：Tar for Node.js 漏洞 (USN-5283-1)

high Nessus 插件 ID 183590

语言：

简介

远程 Ubuntu 主机缺少安全更新。

描述

远程 Ubuntu 20.04 ESM 主机上安装的程序包受到 USN-5283-1 公告中提及的一个漏洞影响。

- 6.1.2、5.0.7、4.4.15 和 3.2.3 之前版本的 npm 程序包 tar（也称为 node-tar）由于符号链接保护不充分，存在任意文件创建/覆盖漏洞。“node-tar”的目的在于保证应用程序不会提取任何位置会被符号链接修改的文件。这部分是通过确保提取的目录不是符号链接来实现的。此外，为了防止不必要的“stat”调用，以确定给定的路径是否为目录，创建目录时会缓存路径。当提取同时包含目录和与目录同名之符号链接的 tar 文件时，此逻辑是不充分的。此操作顺序会造成应用程序创建目录并将其添加到“node-tar”目录缓存。当目录缓存中存在目录时，应用程序会跳过后续对该目录的 mkdir 的调用。但是，这也是“node-tar”检查符号链接的地方。通过首先创建一个目录，然后用符号链接替换该目录，用户可以绕过针对目录的“node-tar”符号链接检查，这基本上允许不受信任的 tar 文件以符号链接指向任意位置，然后将任意文件提取到该位置，从而允许应用程序创建和覆盖任意文件。此问题已在版本 3.2.3、4.4.15、5.0.7 和 6.1.2 中解决。(CVE-2021-32803)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

更新受影响的 node-tar 程序包。

另见

https://ubuntu.com/security/notices/USN-5283-1

插件详情

严重性: High

ID: 183590

文件名: ubuntu_USN-5283-1.nasl

版本: 1.1

类型: Local

代理: unix

系列: Ubuntu Local Security Checks

发布时间: 2023/10/20

最近更新时间: 2024/8/27

支持的传感器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus

风险信息

VPR

风险因素: Medium

分数: 6.3

百分位: 96.66

CVSS v2

风险因素: Medium

基本分数: 5.8

时间分数: 4.3

矢量: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:P

CVSS 分数来源: CVE-2021-32803

CVSS v3

风险因素: High

基本分数: 8.1

时间分数: 7.1

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/o:canonical:ubuntu_linux:20.04:-:esm, p-cpe:/a:canonical:ubuntu_linux:node-tar

必需的 KB 项: Host/cpu, Host/Ubuntu, Host/Ubuntu/release, Host/Debian/dpkg-l

易利用性: No known exploits are available

补丁发布日期: 2022/2/11

漏洞发布日期: 2021/8/3

参考资料信息

CVE: CVE-2021-32803

USN: 5283-1