リモートの SUSE Linux SLED15 / SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:1548-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.30 による GNU Tar は、--sparse が使用される場合、読み取りアクセス中に、ファイルの縮小を誤って処理し、異なるユーザーのプロセスによると思われるファイルを変更すること (例えば、ルートとしてシステムバックアップを実行すること) により、ローカルユーザーがサービス拒否 (sparse.c の sparse_dump_region 内で無限読み取りループ) を引き起こす可能性があります。(CVE-2018-20482)

  - 1.32 の前の GNU Tar の sparse.c 内の pax_decode_header には、不正な拡張ヘッダーがある特定のアーカイブを解析するときに NULL ポインターデリファレンスがありました。(CVE-2019-9923)

  -tar 1.33以前の src/list.c に欠陥が見つかりました。この欠陥により、細工された入力ファイルを tar に送信できる攻撃者が、制御されずにメモリを消費する可能性があります。この脆弱性が最大の脅威となるのは、システムの可用性です。(CVE-2021-20193)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: tar(SUSE-SU-2022:1548-1)

high Nessus プラグイン ID 160664

バージョン 1.5