Debian dla-4552 ： node-tar - 安全更新

high Nessus 插件 ID 310898

语言：

简介

远程 Debian 主机上缺少一个或多个与安全相关的更新。

描述

远程的 Debian 11 主机安装了一个包，受 dla-4552 公告中提及的多个漏洞影响。

------------------------------------------------------------------------- Debian LTS 咨询 DLA-4552-1 [email protected] https://www.debian.org/lts/security/Daniel Leidert 2026年4月29日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

Package ： node-tar 版本： 6.0.5+ds1+~cs11.3.9-1+deb11u3 CVE ID ： CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960 CVE-2026-29786 CVE-2026-31802

node-tar 是一个用于读写便携式 tar 档案的Node.js模块中发现了多个漏洞。

CVE-2024-28863

生成大量子文件夹可能会占用系统内存，甚至在包含过多子文件夹的路径上，几秒钟内导致Node.js客户端崩溃。

CVE-2026-23745

当 preservePaths 为假时，Link（硬链接）和 SymbolicLink 条目的链接路径无法净化，导致恶意压缩包绕过提取根限制，导致通过硬链接任意覆盖文件，以及通过绝对符号链接目标进行符号链接中毒。

该问题的修复引入了以下多个漏洞。

CVE-2026-24842

硬链条目的安全检查允许攻击者构建恶意TAR归档，绕过路径穿越保护，创建指向解压目录外任意文件的硬链接。

CVE-2026-26960

攻击者控制的归档可以在提取目录内创建指向提取根以外的文件的硬链接，从而允许作为解压用户任意读写文件。

CVE-2026-29786

攻击者控制的归档可以通过使用驱动器相对链路目标创建指向提取目录之外的硬链路。

CVE-2026-31802

攻击者控制的归档可以通过使用驱动器相对链路目标创建指向提取目录之外的硬链路。

对于 Debian 11 的 bullseye，这些问题在 +ds1+~cs11.3.9-1+deb11u3 版本中得到了修复 6.0.5。

我们建议您升级您的node-tar套餐。

有关node-tar的详细安全状态，请参阅其安全追踪页面：
https://security-tracker.debian.org/tracker/node-tar

有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址: https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。