远程 Debian 9 主机上安装的多个程序包受到 dla-2830 公告中提及的一个漏洞影响。

    修复了在 GNU tar 归档工具中，当使用 --sparse 并在读取访问期间发生文件收缩时出现的无限循环问题。对于 Debian 9 Stretch，已在版本 1.29b-1.1+deb9u1 中修复此问题。建议您升级 tar 程序包。有关 tar 的详细安全状态，请访问其安全跟踪页面：https://security-tracker.debian.org/tracker/tar 有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

GNU 版本的 tar UNIX 存档实用工具 tar 中发现潜在的拒绝服务漏洞。如果在读取文件时文件缩小，则 --sparse 参数会无止尽循环。只有当该文件重新回到（或超过）原始的文件结尾处，Tar 才会跳出无止尽循环。对于 Debian 8“Jessie”，这一问题已在 tar 版本 1.27.1-2+deb8u2 中修复。建议您升级 tar 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

根据安装的 tar 程序包版本，远程主机上安装的 EulerOS Virtualization 会受到下列漏洞影响：- 在到 GNU Tar 1.30 为止的所有版本中使用 --sparse 时，在读取访问期间对文件收缩处理不当，让本地用户用机会通过修改原本应由不同用户的进程（例如以 root 权限运行的系统备份）存档的文件来造成拒绝服务（sparse.c 中的 sparse_dump_region 发生无限读取循环）。(CVE-2018-20482) 请注意，Tenable Network Security 已直接从 EulerOS 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 20.10 主机上安装的程序包受到 USN-4692-1 公告中提及的多个漏洞的影响。

  - 使用 --sparse 时，1.30 及之前的 GNU Tar 未在读取访问期间正确处理文件收缩，这让本地用户可以通过修改原本应由不同用户的进程（例如以 root 权限运行的系统备份）存档的文件，造成拒绝服务（sparse.c 中的 sparse_dump_region 发生无限读取循环）。(CVE-2018-20482)

  - 在解析具有畸形扩展标头的某些存档时，1.32 之前的 GNU Tar 的 sparse.c 中的 pax_decode_header 存在空指针取消引用。(CVE-2019-9923)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-201903-05 中所述漏洞的影响（Tar：拒绝服务）

    在 Tar 中，sparse.c 文件的 sparse_dump_region 函数允许使用 --sparse 选项造成无限循环。
  影响：

    本地攻击者可修改原本应由不同用户进程（例如以 root 身份运行的系统备份）存档的文件，进而可能造成拒绝服务情况。
  变通方案：

    目前无任何已知的变通方案。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 使用 --sparse 时，1.30 及之前的 GNU Tar 未在读取访问期间正确处理文件收缩，这让本地用户可以通过修改原本应由不同用户的进程（例如以 root 权限运行的系统备份）存档的文件，造成拒绝服务（sparse.c 中的 sparse_dump_region 发生无限读取循环）。(CVE-2018-20482)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

根据安装的 tar 程序包版本，远程主机上安装的 EulerOS 会受到下列漏洞影响：- 在到 GNU Tar 1.30 为止的所有版本中使用 --sparse 时，在读取访问期间对文件收缩处理不当，让本地用户用机会通过修改原本应由不同用户的进程（例如以 root 权限运行的系统备份）存档的文件来造成拒绝服务（sparse.c 中的 sparse_dump_region 发生无限读取循环）。(CVE-2018-20482) 请注意，Tenable Network Security 已直接从 EulerOS 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
155707	Debian DLA-2830-1：tar - LTS 安全更新	Nessus	Debian Local Security Checks	2021/11/29	2025/1/24	critical
119957	Debian DLA-1623-1：tar 安全更新	Nessus	Debian Local Security Checks	2019/1/2	2024/7/12	medium
123730	EulerOS Virtualization 2.5.3：tar (EulerOS-SA-2019-1262)	Nessus	Huawei Local Security Checks	2019/4/4	2024/6/5	medium
144944	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：tar 漏洞 (USN-4692-1)	Nessus	Ubuntu Local Security Checks	2021/1/14	2024/9/19	critical
122733	GLSA-201903-05 : Tar：拒绝服务	Nessus	Gentoo Local Security Checks	2019/3/11	2024/6/14	medium
222350	Linux Distros 未修补的漏洞: CVE-2018-20482	Nessus	Misc.	2025/3/4	2025/8/27	medium
123603	EulerOS 2.0 SP2：tar (EulerOS-SA-2019-1129)	Nessus	Huawei Local Security Checks	2019/4/2	2024/6/6	medium
123628	EulerOS 2.0 SP5：tar (EulerOS-SA-2019-1154)	Nessus	Huawei Local Security Checks	2019/4/2	2024/6/6	medium

检测

插件搜索

critical

medium

medium

critical

medium

medium

medium

medium