遠端的 Debian 11 主機安裝了一個套件，該套件受到多項漏洞影響，如 dla-4552 公告中所述。

    ------------------------------------------------------------------------- Debian LTS 諮詢 debian-lts@lists.debian.org DLA-4552-1https://www.debian.org/lts/security/Daniel Leidert 2026年4月29日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 ： node-tar 版本 ： 6.0.5+ds1+~cs11.3.9-1+deb11u3 CVE ID ： CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960 CVE-2026-29786 CVE-2026-31802

    node-tar 是一個用於讀寫可攜式 tar 檔案的Node.js模組，已被發現多項漏洞。

    CVE-2024-28863

       產生大量子資料夾可能會消耗系統記憶體，甚至在包含過多子資料夾的路徑上，幾秒鐘內導致Node.js用戶端當機。

    CVE-2026-23745

       當 preservePaths 為假時，Link（hardlink）與 SymbolicLink 條目的連結路徑無法淨化，導致惡意壓縮檔繞過擷取根限制，導致硬連結任意覆寫檔案及絕對符號連結目標的符號中毒。

       此問題的修正會引入以下多項漏洞。

    CVE-2026-24842

       硬連結條目的安全檢查允許攻擊者打造惡意的 TAR 檔案，繞過路徑穿越保護，並建立指向解壓目錄外任意檔案的硬連結。

    CVE-2026-26960

       攻擊者控制的壓縮檔可以在擷取目錄內建立一個硬連結，指向擷取根目錄外的檔案，讓解壓使用者能任意讀寫檔案。

    CVE-2026-29786

       攻擊者控制的壓縮檔可透過磁碟相對連結目標建立指向擷取目錄外的硬連結。

    CVE-2026-31802

       攻擊者控制的壓縮檔可透過磁碟相對連結目標建立指向擷取目錄外的硬連結。


    對於 Debian 11 的 bullseye，這些問題已在 6.0.5+ds1+~cs11.3.9-1+deb11u3 版本中修正。

    我們建議你升級你的 node-tar 套件。

    如需了解 node-tar 的詳細安全狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/node-tar

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - node-tar 是適用於 Node.js 的全功能 Tar。在 7.5.11版之前可以誘騙 tar (npm) 透過使用磁碟機相關符號連結目標 (例如 C:../../../target.txt) 建立指向擷取目錄之外的符號連結這會啟用正常 tar.x() 擷取期間在 cwd 之外的位置覆寫檔案。
    此弱點已在 7.5.11 中修復。(CVE-2026-31802)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - node-tar 是一个适用于 Node.js 的全功能 Tar。低于版本 7.5.11时可诱骗 tar (npm) 通过使用 C:../../../target.txt 等驱动器相关符号链接目标创建指向提取目录外部的符号链接这可启用正常 tar.x() 提取期间 cwd 之外的文件覆盖。
    此漏洞已在 7.5.11 中修复。(CVE-2026-31802)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程的 Debian 11 主机安装了一个包，受 dla-4552 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 咨询 DLA-4552-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026年4月29日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    Package ： node-tar 版本 ： 6.0.5+ds1+~cs11.3.9-1+deb11u3 CVE ID ： CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960 CVE-2026-29786 CVE-2026-31802

    node-tar 是一个用于读写便携式 tar 档案的Node.js模块中发现了多个漏洞。

    CVE-2024-28863

       生成大量子文件夹可能会占用系统内存，甚至在包含过多子文件夹的路径上，几秒钟内导致Node.js客户端崩溃。

    CVE-2026-23745

       当 preservePaths 为假时，Link（硬链接）和 SymbolicLink 条目的链接路径无法净化，导致恶意压缩包绕过提取根限制，导致通过硬链接任意覆盖文件，以及通过绝对符号链接目标进行符号链接中毒。

       该问题的修复引入了以下多个漏洞。

    CVE-2026-24842

       硬链条目的安全检查允许攻击者构建恶意TAR归档，绕过路径穿越保护，创建指向解压目录外任意文件的硬链接。

    CVE-2026-26960

       攻击者控制的归档可以在提取目录内创建指向提取根以外的文件的硬链接，从而允许作为解压用户任意读写文件。

    CVE-2026-29786

       攻击者控制的归档可以通过使用驱动器相对链路目标创建指向提取目录之外的硬链路。

    CVE-2026-31802

       攻击者控制的归档可以通过使用驱动器相对链路目标创建指向提取目录之外的硬链路。


    对于 Debian 11 的 bullseye，这些问题在 +ds1+~cs11.3.9-1+deb11u3 版本中得到了修复 6.0.5。

    我们建议您升级您的node-tar套餐。

    有关node-tar的详细安全状态，请参阅其安全追踪页面：
    https://security-tracker.debian.org/tracker/node-tar

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址: https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - node-tar は Node.js 用のフル機能の Tar です。バージョン 7.5.11より前では、tarnpmが騙されて、C:../../../target.txt などのドライブ関連のシンボリックリンクターゲットを使用することで、抽出ディレクトリの外側を指すシンボリックリンクを作成する可能性があります。これにより、通常の tar.x() 抽出中に cwd 外でファイルの上書き。
    この脆弱性は 7.5.11 で修正されました。(CVE-2026-31802)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのDebian 11ホストには、dla-4552アドバイザリーで言及されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリー DLA-4552-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel ライダート 2026年4月29日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : node-tar バージョン : 6.0.5+ds1+~cs11.3.9-1+deb11u3 CVE ID : CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960 CVE-2026-29786 CVE-2026-31802

    node-tarという、ポータブルtarアーカイブの読み書きを行うNode.jsモジュールで複数の脆弱性が発見されています。

    CVE-2024-28863

       多数のサブフォルダを生成すると、システムのメモリを消費し、サブフォルダが多すぎるパスを使うと数秒以内にNode.jsクライアントがクラッシュすることもあります。

    CVE-2026-23745

       preservePathsがfalseの場合、Link(ハードリンク)およびSymbolicLinkエントリのリンクパスがサニティ化されず、悪意のあるアーカイブが抽出の根の制限を回避し、ハードリンクによる任意のファイル上書きや絶対シンムリンクターゲットによるシンムリンク中毒を引き起こします。

       この問題の修正により、以下の複数の脆弱性が導入されます。

    CVE-2026-24842

       ハードリンクエントリのセキュリティチェックにより、攻撃者はパストラバーサル保護を回避し、抽出ディレクトリ外の任意のファイルへのハードリンクを作成する悪意のあるTARアーカイブを作成できます。

    CVE-2026-26960

       攻撃者が制御するアーカイブは、抽出ディレクトリ内にハードリンクを作成し、抽出ルート外のファイルを参照することで、抽出ユーザーとして任意のファイルの読み書きを可能にします。

    CVE-2026-29786

       攻撃者が制御するアーカイブは、ドライブ相対リンクターゲットを用いて抽出ディレクトリの外側を指すハードリンクを作成できます。

    CVE-2026-31802

       攻撃者が制御するアーカイブは、ドライブ相対リンクターゲットを用いて抽出ディレクトリの外側を指すハードリンクを作成できます。


    Debian 11のブルズアイでは、これらの問題はバージョン 6.0.5+ds1+~cs11.3.9-1+deb11u3で修正されています。

    Node-tarパッケージのアップグレードを推奨します。

    node-tarの詳細なセキュリティ状況については、以下のセキュリティトラッカーページをご覧ください:
    https://security-tracker.debian.org/tracker/node-tar

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Debian 11 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-4552 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4552-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Daniel Leidert     April 29, 2026                                https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : node-tar     Version        : 6.0.5+ds1+~cs11.3.9-1+deb11u3     CVE ID         : CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960                      CVE-2026-29786 CVE-2026-31802

    Multiple vulnerabilities have been discovered in node-tar, a Node.js     module to read and write portable tar archives.

    CVE-2024-28863

       Generating a large number of sub-folders can consume memory on the        system and even crash the Node.js client within a few seconds using        a path with too many sub-folders inside.

    CVE-2026-23745

       When preservePaths is false, the linkpath of Link (hardlink) and        SymbolicLink entries fail to be sanitized, allowing malicious        archives to bypass the extraction root restriction, leading to        arbitrary file overwrites via hardlinks and symlink poisoning via        absolute symlink targets.

       The fix for this issue introduces multiple of the following        vulnerabilties.

    CVE-2026-24842

       The security check for hardlink entries allows an attacker to craft        a malicious TAR archive that bypasses path traversal protections and        creates hardlinks to arbitrary files outside the extraction        directory.

    CVE-2026-26960

       An attacker-controlled archive can create a hardlink inside the        extraction directory that points to a file outside the extraction        root, enabling arbitrary file read and write as the extracting user.

    CVE-2026-29786

       An attacker-controlled archive can create a hardlink that points        outside the extraction directory by using a drive-relative link        target.

    CVE-2026-31802

       An attacker-controlled archive can create a hardlink that points        outside the extraction directory by using a drive-relative link        target.


    For Debian 11 bullseye, these problems have been fixed in version     6.0.5+ds1+~cs11.3.9-1+deb11u3.

    We recommend that you upgrade your node-tar packages.

    For the detailed security status of node-tar please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/node-tar

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - node-tar is a full-featured Tar for Node.js. Prior to version 7.5.11, tar (npm) can be tricked into     creating a symlink that points outside the extraction directory by using a drive-relative symlink target     such as C:../../../target.txt, which enables file overwrite outside cwd during normal tar.x() extraction.
    This vulnerability is fixed in 7.5.11. (CVE-2026-31802)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
310898	Debian dla-4552 ： node-tar - 安全更新	Nessus	Debian Local Security Checks	2026/4/29	2026/4/29	high
301684	Linux Distros 未修補的弱點：CVE-2026-31802	Nessus	Misc.	2026/3/10	2026/5/11	high
301684	Linux Distros 未修补的漏洞：CVE-2026-31802	Nessus	Misc.	2026/3/10	2026/5/11	high
310898	Debian dla-4552 ： node-tar - 安全更新	Nessus	Debian Local Security Checks	2026/4/29	2026/4/29	high
301684	Linux Distros のパッチ未適用の脆弱性: CVE-2026-31802	Nessus	Misc.	2026/3/10	2026/5/11	high
310898	Debian dla-4552 : node-tar - セキュリティアップデート	Nessus	Debian Local Security Checks	2026/4/29	2026/4/29	high
310898	Debian dla-4552 : node-tar - security update	Nessus	Debian Local Security Checks	2026/4/29	2026/4/29	high
301684	Linux Distros Unpatched Vulnerability : CVE-2026-31802	Nessus	Misc.	2026/3/10	2026/5/11	high

检测

插件搜索

high

high

high

high

high

high

high

high