There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - The tar extraction routines in moby/go-archive (Unpack, UnpackLayer, Untar/UntarUncompressed, and the
    ApplyLayer helpers) do not confine filesystem operations to the destination directory. The extractor
    decides where each archive entry lands using lexical string checks and then performs the filesystem
    operation on a path that is resolved by the OS, so links introduced by the archive can be followed out of
    the destination directory. An attacker who controls the contents of an archive can create or overwrite
    files at arbitrary paths writable by the extracting process. (CVE-2026-17106)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - moby/go-archive 中的 tar 提取例程（Unpack、UnpackLayer、Untar/UntarUncompressed 和 ApplyLayer 辅助函数）未将文件系统操作限制在目的地目录。提取器使用词汇字符串检查来确定每个存档条目的到达位置，然后在操作系统解析的路径上执行文件系统操作，以便可以在目标目录之外跟踪归档引入的链接。控制存档内容的攻击者可在提取进程可写入的任意路径上创建或覆盖文件。（CVE-2026-17106）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - moby/go-archive 中的 tar 擷取常式 （Unpack、UnpackLayer、Untar/UntarUncompressed 和 ApplyLayer 協助程式） 不會將檔案系統作業限制在目標目錄內。擷取器會使用詞彙字串檢查來決定每個封存項目的所在位置，然後在作業系統解析的路徑上執行檔案系統作業，因此可以追蹤封存引入的連結。控制封存內容的攻擊者可以在解壓縮程序可寫入的任意路徑上建立或覆寫檔案。（CVE-2026-17106）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

リモートのopenSUSE 16ホストには、openSUSE- SU-2026:21611-1アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    アプリテイナーの変更:

    - CVE-2026-17106を修正するには、github.com/moby/go-archive を v0.3.0 に更新してください:
      moby/go-archive の tar 抽出ルーチンは、ファイルシステムの操作を宛先ディレクトリに限定しません。細工されたアーカイブが、意図される宛先(bsc#1275248)の外側でファイルを作成または上書きする可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - moby/go-archive の tar 抽出ルーチン(Unpack、UnpackLayer、Untar/UntarUncompressed、および ApplyLayer ヘルパー)は、ファイルシステムのオペレーションを宛先ディレクトリに限定しません。抽出器は、語彙文字列チェックを使用して各アーカイブエントリの到達地を決定し、OSによって解決されたパスでファイルシステム操作を実行するため、アーカイブによって導入されたリンクを宛先ディレクトリの外部でたどることができます。アーカイブのコンテンツをコントロールする攻撃者は、抽出プロセスによって書き込み可能な任意のパスでファイルを作成または上書きすることができます。(CVE-2026-17106)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 16 host has packages installed that are affected by a vulnerability as referenced in the openSUSE- SU-2026:21611-1 advisory.

    Changes in apptainer:

    - Update github.com/moby/go-archive to v0.3.0 to fix CVE-2026-17106:
      The tar extraction routines in moby/go-archive do not confine       filesystem operations to the destination directory. A crafted       archive can create or overwrite files outside the intended       destination (bsc#1275248).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The tar extraction routines in moby/go-archive (Unpack, UnpackLayer, Untar/UntarUncompressed, and the     ApplyLayer helpers) do not confine filesystem operations to the destination directory. The extractor     decides where each archive entry lands using lexical string checks and then performs the filesystem     operation on a path that is resolved by the OS, so links introduced by the archive can be followed out of     the destination directory. An attacker who controls the contents of an archive can create or overwrite     files at arbitrary paths writable by the extracting process. (CVE-2026-17106)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of Tencent Linux installed on the remote TencentOS Server 4 host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the TSSA-2026:0872 advisory.

    Package updates are available for TencentOS Server 4 that fix the following vulnerabilities:

    CVE-2026-17106:
    The tar extraction routines in moby/go-archive (Unpack, UnpackLayer, Untar/UntarUncompressed, and the     ApplyLayer helpers) do not confine filesystem operations to the destination directory. The extractor     decides where each archive entry lands using lexical string checks and then performs the filesystem     operation on a path that is resolved by the OS, so links introduced by the archive can be followed out of     the destination directory. An attacker who controls the contents of an archive can create or overwrite     files at arbitrary paths writable by the extracting process.

Tenable has extracted the preceding description block directly from the Tencent Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
446091	SCA: security update for github.com/moby/go-archive (GHSA-hfg8-hc9c-6c3h)	Tenable Cloud Security	SCA Checks	2026/8/19	2026/8/20	high
446091	SCA: security update for github.com/moby/go-archive (GHSA-hfg8-hc9c-6c3h)	Tenable Self-Hosted Container Security	SCA Checks	2026/8/19	2026/8/20	high
338087	Linux Distros 未修补的漏洞：CVE-2026-17106	Nessus	Misc.	2026/8/19	2026/9/3	high
338087	Linux Distros 未修補弱點：CVE-2026-17106	Nessus	Misc.	2026/8/19	2026/9/3	high
339033	openSUSE 16 セキュリティ更新:apptainer(openSUSE-SU-2026:21611-1)	Nessus	SuSE Local Security Checks	2026/8/23	2026/8/23	high
338087	Linux Distros のパッチ未適用の脆弱性: CVE-2026-17106	Nessus	Misc.	2026/8/19	2026/9/3	high
339033	openSUSE 16 Security Update : apptainer (openSUSE-SU-2026:21611-1)	Nessus	SuSE Local Security Checks	2026/8/23	2026/8/23	high
338087	Linux Distros Unpatched Vulnerability : CVE-2026-17106	Nessus	Misc.	2026/8/19	2026/9/3	high
342065	TencentOS Server 4: moby (TSSA-2026:0872)	Nessus	Tencent Local Security Checks	2026/9/1	2026/9/1	high

检测

插件搜索

high

high

high

high

high

high

high

high

high