Linux Distros 未修补的漏洞: CVE-2023-42503
medium Nessus 插件 ID 227307
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- TAR 解析过程中 Apache Commons Compress 中的不当输入验证、不受控制的资源消耗漏洞。此问题影响 Apache Commons Compress：版本为 1.22 之前的 1.24.0。建议用户升级到修复了此问题的版本 1.24.0。第三方可通过操控文件修改时间标头来创建畸形 TAR 文件，使用 Apache Commons Compress 解析时，将通过消耗 CPU 造成拒绝服务问题。在 Apache Commons Compress 的版本 1.22 中，添加了支持，以便以更高的精度实现文件修改时间（问题 # COMPRESS-612 [1]）。载有此数据的 PAX 扩展标头的格式由以句点分隔的两个数字组成 [2]，表示秒和亚秒精度（例如 1647221103.5998539）。受影响的字段为 atime、ctime、mtime 和 LIBARCHIVE.creationtime。解析标头值之前不执行任何输入验证。对这些数字的解析会使用 JDK 中的 BigDecimal [3] 类，其中在对大量数字执行运算时存在一个众所周知的算法复杂性问题，从而造成拒绝服务（请参阅问题 # JDK-6560193 [4]）。第三方可通过将极长分数（300,000 位）的数字或指数表示法的数字（如 9e9999999）放在文件修改时间标头内，来操纵 TAR 文件中的文件时间标头，解析这些文件时标头将花费数小时而不是数秒，从而通过耗尽 CPU 资源导致拒绝服务。此问题类似于 CVE-2012-2098 [5]。 [1]： https://issues.apache.org/jira/browse/COMPRESS-612 [2]：
https://pubs.opengroup.org/onlinepubs/9699919799/utilities/pax.html#tag_20_92_13_05 [3]：
https://docs.oracle.com/javase/8/docs/api/java/math/BigDecimal.html [4]：
https://bugs.openjdk.org/browse/JDK-6560193 [5]： https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-2098 只有使用 CompressorStreamFactory 类（具有文件类型的自动检测功能）、TarArchiveInputStream 和 TarFile 类来解析 TAR 文件的应用程序才受影响。由于此代码是在 v1.22 中引入的，因此只有该版本 及更高版本会受到影响。 (CVE-2023-42503)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: Medium
ID: 227307
文件名: unpatched_CVE_2023_42503.nasl
版本: 1.2
类型: local
代理: unix
系列: Misc.
发布时间: 2025/3/5
最近更新时间: 2025/8/18
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Low
分数: 3.6
CVSS v2
风险因素: Medium
基本分数: 4.3
时间分数: 3.2
矢量: CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:P
CVSS 分数来源: CVE-2023-42503
CVSS v3
风险因素: Medium
基本分数: 5.5
时间分数: 4.8
矢量: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/o:canonical:ubuntu_linux:25.04, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:libcommons-compress-java, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, p-cpe:/a:debian:debian_linux:libcommons-compress-java, cpe:/o:debian:debian_linux:12.0
必需的 KB 项: Host/OS/identifier, Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched
易利用性: No known exploits are available
漏洞发布日期: 2023/9/14
参考资料信息
CVE: CVE-2023-42503