Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 1.35 及之前的 GNU Tar 版本允许藉由一个特定的两步流程，通过特别构建的 TAR 存档中的目录遍历漏洞来覆盖文件。首先，受害者必须将一个包含 ../ 符号链接的存档解压缩到关键目录。然后，受害者必须解压缩另一个包含关键文件的存档，而该文件的相对路径名称需以符号链接名称为开头，并以该关键文件的名称为结尾。此时，解压缩操作会遵循符号链接的指向，并覆盖该关键文件。这种攻击方式可绕过“成员名称包含 '..'”的保护机制，而此机制本应在单个 TAR 存档尝试通过 ../ 方法指定关键文件时触发。例如，第一个存档包含 x -> ../../../../../home/victim/.ssh，第二个存档则包含 x/authorized_keys。这或会影响自动解压缩任意数量的用户所提供 TAR 存档且依赖遍历阻断机制的服务器应用程序。这也会影响多次运行 tar xf 的软件安装进程（例如安装程序包时 可自动安装两个被设置为不受信任的 tarball 而非官方程序包的依存关系）。注意 官方 GNU Tar 手册的 Security Rules of Thumb 中为每个 tar xf 规定了一个 否则为空的目录但是第三方的建议会导致用户在同一目录中多次运行 tar xf。 (CVE-2025-45582)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2025-45582

medium Nessus 插件 ID 247155

版本 1.5

版本 1.3

版本 1.5 Sep 30, 2025, 12:41 AM Detection (updated detection logic) Plugin Feed: 202509300041
版本 1.3 Sep 4, 2025, 5:30 PM CVSS metrics ("Cvssv4 score" set to 0.0) CVSSv2 severity (based on None, severity decreased from "High" to "Low") Detection (updated detection logic) Plugin Feed: 202509041730