Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - node-tar 是一款功能齐全的 Node.js Tar。在 7.5.16之前，tar （node-tar） 将 PAX 扩展标头的 size= record（以及其他 PAX 覆盖）应用于任何类型的下一个标头条目，包括中间元数据标头，例如 GNU 长名称 （L） 或长链接 （K） 条目。根据 POSIX pax，PAX 扩展标头 （x） 描述下一个文件条目，而不是可能位于 x 标头及其注释的文件之间的中间扩展标头。由于 node-tar 让 PAX 大小替代中间 L/K/x 标头的字节长度，攻击者可使 node-tar 的流游标相对于其他每个主流 tar 实现（GNU tar、libarchive/bsdtar、Python tarfile 和现已修复的 tar-rs/astral-tokio-tar）取消同步。结果是 tar 解析器解释差异 （CWE-436）：单个构建的存档在 node-tar 下产生的成员集与在参考 tar 工具下产生的成员集不同。攻击者可利用此漏洞在另一个解析器可见时隐藏该成员，这会破坏扫描程序和提取器对存档内容不一致的安全工具（例如，恶意软件/秘密扫描程序列出一个库的条目，而下游步骤使用另一个库进行提取） 该漏洞已在 7.5.16中修复。（CVE-2026-53655）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-53655

medium Nessus 插件 ID 322160

版本 1.5