Rocky Linux 9.6 [TuxCare] 安全更新：tar （ALMALINUX9.6：CLSA-2026：1769513855）

medium Nessus 插件 ID 359604

语言：

简介

Rocky Linux 主机缺少一个或多个安全更新。

描述

Rocky Linux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2026：1769513855 2公告中提及的漏洞的影响。

- 1.35 及之前的 GNU Tar 版本允许藉由一个特定的两步流程，通过特别构建的 TAR 存档中的目录遍历漏洞来覆盖文件。首先，受害者必须将一个包含 ../ 符号链接的存档解压缩到关键目录。然后，受害者必须解压缩另一个包含关键文件的存档，而该文件的相对路径名称需以符号链接名称为开头，并以该关键文件的名称为结尾。此时，解压缩操作会遵循符号链接的指向，并覆盖该关键文件。这种攻击方式可绕过“成员名称包含 '..'”的保护机制，而此机制本应在单个 TAR 存档尝试通过 ../ 方法指定关键文件时触发。例如，第一个存档包含 x -> ../../../../../home/victim/.ssh，第二个存档则包含 x/authorized_keys。这或会影响自动解压缩任意数量的用户所提供 TAR 存档且依赖遍历阻断机制的服务器应用程序。这还会影响 tar xf 运行多次的软件安装进程（例如，安装程序包时可自动安装两个设置为不受信任的 tarball 而不是官方程序包的依存关系）。注意：官方 GNU Tar 手册在其安全经验法则中针对每个 tar xf 都有一个其他空白的目录;但是，第三方建议引导用户在同一目录中多次运行 tar xf。（CVE-2025-45582）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。