tar パッケージに脆弱性が発見されました。この脆弱性により、攻撃者が細工したファイルを介して任意のファイルを上書きする可能性があります。Debian 7 'Wheezy' では、これらの問題はバージョン 1.26+dfsg-0.1+deb7u1 で修正されています。tar パッケージをアップグレードすることを推奨します。注 : Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

この tar 用の更新プログラムでは、次の問題が修正されます：

  - POINTYFEATHERの脆弱性を修正します- GNU tar archiverが騙されて、コマンドラインに指定されるパス名に関係なく、ファイルとディレクトリを特定の宛先に抽出する可能性があります。[bsc#1007188] [CVE-2016-6321]

  - Amanda統合の問題を修正します（bsc#913058）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

この tar 用の更新プログラムでは、次の問題が修正されます：

  - POINTYFEATHERの脆弱性を修正します- GNU tar archiverが騙されて、コマンドラインに指定されるパス名に関係なく、ファイルとディレクトリを特定の宛先に抽出する可能性があります。[bsc#1007188] [CVE-2016-6321]

  - Amanda統合の問題を修正します（bsc#913058）

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

インストールされているtarパッケージのバージョンによると、リモートホストにインストールされているEulerOSは次の脆弱性の影響を受けます。- GNU tar 1.14～1.29のsafer_name_suffix関数のディレクトリトラバーサル脆弱性により、リモートの攻撃者が意図した保護メカニズムをバイパスし、file_nameパラメーターの不適切なサニタイズに関連するベクトルを使用して任意のファイルに書き込む可能性があります（別名POINTYFEATHER）。（CVE-2016-6321）注意：Tenable Network Securityは、前述の記述ブロックをEulerOSセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

パス名がコマンドラインで指定されたとき、tarでファイルの抽出が不適切に処理されることをHarry Sintonen氏が発見しました。ユーザーや自動化システムが誘導されて特別に細工されたアーカイブを開くと、攻撃者が任意のファイルを上書きする可能性があります。

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201611-19（Tar：抽出パス名のバイパス）に記載されている脆弱性に影響されています。Tarは、抽出時に要素名の問題のある部分を削除することにより、パストラバーサル攻撃を回避しようとします。このサニタイズは、攻撃者がコマンドラインで指定されたパス名をバイパスできる脆弱性につながります。影響：攻撃者は細工されたtarアーカイブを作成できます。このアーカイブは、被害者によって抽出されると、コマンドラインで指定されたパス名に関係なく、ターゲットディレクトリで被害者がアクセスするファイルとディレクトリを置き換えます。回避策：現時点では、既知の回避策はありません。

この tar の更新では、次の問題が修正されます：

  - --files-fromを使用してファイルを再帰的に抽出します[boo#913058] 

  - POINTYFEATHERの脆弱性を修正します - GNU tar archiverが騙されて、コマンドラインに指定されるパス名に関係なく、ファイルとディレクトリを特定の宛先に抽出する可能性があります。[boo#1007188] [CVE-2016-6321]

この tar 用の更新プログラムでは、次の問題が修正されます：

  - POINTYFEATHERの脆弱性を修正します- GNU tar archiverが騙されて、コマンドラインに指定されるパス名に関係なく、ファイルとディレクトリを特定の宛先に抽出する可能性があります。[bsc#1007188] [CVE-2016-6321]

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Harry Sintonen 氏が、GNU tarが「..」を含むメンバー名を適切に処理しないことを発見しました。これにより、攻撃者がコマンドラインで指定されたパス名をバイパスし、ターゲットディレクトリのファイルとディレクトリを置き換えることができます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
94447	Debian DLA-690-1 : tar セキュリティ更新	Nessus	Debian Local Security Checks	2016/11/1	2021/1/11	high
95315	SUSE SLED12 / SLES12セキュリティ更新プログラム：tar（SUSE-SU-2016:2896-1）	Nessus	SuSE Local Security Checks	2016/11/25	2021/1/6	high
95555	openSUSEセキュリティ更新プログラム：tar（openSUSE-2016-1401）	Nessus	SuSE Local Security Checks	2016/12/6	2021/1/19	high
131577	EulerOS 2.0 SP2：tar（EulerOS-SA-2019-2423）	Nessus	Huawei Local Security Checks	2019/12/4	2024/4/8	high
95054	Ubuntu 14.04LTS / 16.04LTS: tar の脆弱性 (USN-3132-1)	Nessus	Ubuntu Local Security Checks	2016/11/22	2023/10/23	high
95270	GLSA-201611-19：Tar：抽出パス名のバイパス	Nessus	Gentoo Local Security Checks	2016/11/23	2021/1/11	high
95273	openSUSEセキュリティ更新プログラム：tar（openSUSE-2016-1341）	Nessus	SuSE Local Security Checks	2016/11/23	2021/1/19	high
95314	SUSE SLES11セキュリティ更新プログラム：tar（SUSE-SU-2016:2895-1）	Nessus	SuSE Local Security Checks	2016/11/25	2021/1/19	high
94456	Debian DSA-3702-1 : tar - セキュリティ更新	Nessus	Debian Local Security Checks	2016/11/2	2021/1/11	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high