Node.js モジュール node-tar < 7.5.11 任意のファイルの上書き

medium Nessus プラグイン ID 318798

Language:

概要

Node.js JavaScript Runtime Environment のモジュールは、任意のファイルの上書きの脆弱性による影響を受けます。

説明

リモートホストにインストールされているnode-tarのバージョンは 7.5.11より前です。したがって、脆弱性の影響を受けます。

- node-tar は、Node.js 用のフル機能の Tar です。バージョン 7.5.11 より前では、tar(npm)を騙して、C:.. などのドライブ相対シンボリックリンクターゲットを使用することで、抽出ディレクトリの外部を指し示すシンボリックリンクを作成する可能性があります。/../../target.txt。これにより、通常の tar.x() 抽出中に cwd 外部でのファイルの上書きが可能になります。
この脆弱性は 7.5.11 で修正されました。(CVE-2026-31802)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。