远程的 Debian 11 主机安装了一个包，受 dla-4552 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 咨询 DLA-4552-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026年4月29日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    Package ： node-tar 版本 ： 6.0.5+ds1+~cs11.3.9-1+deb11u3 CVE ID ： CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960 CVE-2026-29786 CVE-2026-31802

    node-tar 是一个用于读写便携式 tar 档案的Node.js模块中发现了多个漏洞。

    CVE-2024-28863

       生成大量子文件夹可能会占用系统内存，甚至在包含过多子文件夹的路径上，几秒钟内导致Node.js客户端崩溃。

    CVE-2026-23745

       当 preservePaths 为假时，Link（硬链接）和 SymbolicLink 条目的链接路径无法净化，导致恶意压缩包绕过提取根限制，导致通过硬链接任意覆盖文件，以及通过绝对符号链接目标进行符号链接中毒。

       该问题的修复引入了以下多个漏洞。

    CVE-2026-24842

       硬链条目的安全检查允许攻击者构建恶意TAR归档，绕过路径穿越保护，创建指向解压目录外任意文件的硬链接。

    CVE-2026-26960

       攻击者控制的归档可以在提取目录内创建指向提取根以外的文件的硬链接，从而允许作为解压用户任意读写文件。

    CVE-2026-29786

       攻击者控制的归档可以通过使用驱动器相对链路目标创建指向提取目录之外的硬链路。

    CVE-2026-31802

       攻击者控制的归档可以通过使用驱动器相对链路目标创建指向提取目录之外的硬链路。


    对于 Debian 11 的 bullseye，这些问题在 +ds1+~cs11.3.9-1+deb11u3 版本中得到了修复 6.0.5。

    我们建议您升级您的node-tar套餐。

    有关node-tar的详细安全状态，请参阅其安全追踪页面：
    https://security-tracker.debian.org/tracker/node-tar

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址: https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

如 JSDSERVER-16529 公告中所述远程主机上运行的 Atlassian Jira Service Management Data Center 和 Server (Jira Service Desk) 版本受到漏洞的影响。

  - Node.js 的 Tarnode-tar 在低于 7.5.7 的版本中包含一个漏洞其中硬链接条目安全检查使用的路径解析语义与实际硬链接创建逻辑不同。
    这种不匹配允许攻击者构建恶意 TAR 存档绕过路径遍历保护并创建指向提取目录外部任意文件的硬链接。版本 7.5.7 包含针对 问题的补丁。 (CVE-2026-24842)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Node.js 的 Tarnode-tar 在低于 7.5.7 的版本中包含一个漏洞其中硬链接条目安全检查使用的路径解析语义与实际硬链接创建逻辑不同。
    这种不匹配允许攻击者构建恶意 TAR 存档绕过路径遍历保护并创建指向提取目录外部任意文件的硬链接。版本 7.5.7 包含针对 问题的补丁。 (CVE-2026-24842)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，该软件受到 ALAS2023-2026-1466 公告中提及的多个漏洞影响。

    node-tar 是一个用于 Node.js 的 Tar 。当 reservePaths 为 false默认安全行为时node-tar 库 (<= 7.5.2) 无法审查链接硬链接和 SymbolicLink 条目的链接路径。这可使恶意存档绕过提取根限制从而通过硬链接导致任意文件覆盖通过绝对符号链接目标导致符号链接中毒。此漏洞已在 7.5.3 中修复。
    (CVE-2026-23745)

    node-tar用于 Node.js 的 Tar在版本 至包含一个争用条件漏洞 7.5.3中。这是因为“path-reservations”系统中未完整处理 Unicode 路径冲突所致。在不区分大小写或标准化的文件系统如 macOS APFS中库 已在 中进行测试库无法锁定冲突的路径如 `ss` 和 `ss`从而允许并行处理它们。这会绕过库的内部并发防护措施并允许通过争用条件进行符号链接中毒攻击。该库使用“PathReservations”系统确保序列化同一路径的元数据检查和文件操作。这可防止一个条目可能同时破坏另一个条目的争用情况。这是启用任意文件覆盖的争用条件。此漏洞会影响 macOS (APFS/HFS+) 上使用 node-tar 的用户和系统。由于使用了“NFD” Unicode 规范化其中ss 和 ss 不同在忽略 Unicode 规范化的文件系统例如 APFS其中ss 导致 inode与“ss”发生冲突))。这使得攻击者能够使用恶意 tar 存档中冲突的文件名避开内部并行化锁PathReservations。 7.5.4 版中的修补程序将 `path-reservations.js` 更新为使用与目标文件系统的行为例如 `NFKD`匹配的规范化形式具体而言后为 `toLocaleLowerCase('en')`再为 `toLocaleUpperCase(' en')`。
    对无法及时升级的用户以及以编程方式使用“node-tar”提取任意 tarball 数据的用户筛选出所有“SymbolicLink”条目如 npm 的变通方案以防止通过此文件系统条目名称进行任意文件写入冲突问题。 (CVE-2026-23950)

    Node.js 的 Tarnode-tar 在低于 7.5.7 的版本中包含一个漏洞其中硬链接条目安全检查使用的路径解析语义与实际硬链接创建逻辑不同。
    这种不匹配允许攻击者构建恶意 TAR 存档绕过路径遍历保护并创建指向提取目录外部任意文件的硬链接。版本 7.5.7 包含针对 问题的补丁。 (CVE-2026-24842)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
310898	Debian dla-4552 ： node-tar - 安全更新	Nessus	Debian Local Security Checks	2026/4/29	2026/4/29	high
305912	Atlassian Jira Service Management Data Center 和 Server 5.15.2 < 10.3.18 / 10.4.x < 11.3.3 (JSDSERVER-16529)	Nessus	Misc.	2026/4/10	2026/4/10	high
297040	Linux Distros 未修补的漏洞：CVE-2026-24842	Nessus	Misc.	2026/1/28	2026/4/29	high
301345	Amazon Linux 2023nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-1466)	Nessus	Amazon Linux Local Security Checks	2026/3/6	2026/3/6	high

检测

插件搜索

high

high

high

high