Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - node-tar は Node.js 用のフル機能の tar です。7.5.16の前に、tar(node-tar)は PAX 拡張ヘッダーの size= record(およびその他の PAX オーバーライド)を、GNU long-name(L)エントリまたは long-link(K)エントリなどの中間メタデータヘッダーを含む、任意のタイプの次のヘッダーエントリに適用します。POSIX pax では、PAX 拡張ヘッダー(x)は次のファイルエントリを記述します。これは、x ヘッダーと注釈を付けるファイルの間にある中間拡張ヘッダーではありません。node-tar によって PAX サイズが中間の L/K/x ヘッダーのバイト長をオーバーライドできるため、攻撃者が node-tar のストリームカーソルを、他の主流の tar 実装すべて(GNU tar、libarchive/bsdtar、Python tarfile、および現在修正された tar-rs/astral-tokio-tar)と比較して非同期化する可能性があります。その結果、tar パーサーの解釈の違いが生じます(CWE-436):単一の細工されたアーカイブにより、参照 tar ツールの node-tar 下とは異なるメンバーのセットが生成されます。攻撃者はこれを利用して、あるパーサーからは表示されているが、別のパーサーからは表示されるメンバーを隠すことで、スキャナーと抽出器がアーカイブの内容に一致しないセキュリティツールを無駄にする可能性があります(例:マルウェア/シークレットスキャナー、あるライブラリでエントリを一覧表示し、下流のステップで別のライブラリで抽出)。 この脆弱性は 7.5.16で修正されています。(CVE-2026-53655)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-53655

medium Nessus プラグイン ID 322160

バージョン 1.5