Zaloguj się
Deutsch English Español Polski
Wysoka

Arbitrary File Overwrite in tar

  • Ujawniono: 01.05.2019
  • Aktualizacja: 11.10.2026 10:22

Versions of tar prior to 4.4.2 for 4.x and 2.2.2 for 2.x are vulnerable to Arbitrary File Overwrite. Extracting tarballs containing a hardlink to a file that already exists in the system, and a file that matches the hardlink will overwrite the system's file with the contents of the extracted file.

Recommendation

For tar 4.x, upgrade to version 4.4.2 or later. For tar 2.x, upgrade to version 2.2.2 or later.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm tar >= 3.0.0, < 4.4.2, < 2.2.2 4.4.2, 2.2.2

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Słabość (CWE)
CWE-59
Platforma
npm
Paczka
tar
Ujawniono
01.05.2019
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-j44m-qm6p-hp7m - CC BY 4.0

Historia podatności: tar

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (21) w archiwum
Wszystkich wpisów
21
Pierwsza → ostatnia
10.2017 07.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 15
  • Średnia 5

Ujawnienia w latach

Istotność:
  1. node-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
    Wysoka · 7.5 CVE-2026-73566 < 7.5.21 7.5.21
  2. node-tar: Decompression/parse DoS via unlimited input
    Krytyczna · 7.5 CVE-2026-59873 < 7.5.19 7.5.19
  3. node-tar: Negative tar entry size causes infinite loop in archive replace
    Wysoka · 7.5 CVE-2026-59874 < 7.5.18 7.5.18
  4. node-tar Symlink Path Traversal via Drive-Relative Linkpath
    Wysoka CVE-2026-31802 < 7.5.11 7.5.11
  5. tar has Hardlink Path Traversal via Drive-Relative Linkpath
    Wysoka CVE-2026-29786 < 7.5.10 7.5.10
  6. Arbitrary File Read/Write via Hardlink Target Escape Through Symlink Chain in node-tar Extraction
    Wysoka · 7.1 CVE-2026-26960 < 7.5.8 7.5.8
  7. node-tar Vulnerable to Arbitrary File Creation/Overwrite via Hardlink Path Traversal
    Wysoka · 8.2 CVE-2026-24842 < 7.5.7 7.5.7
  8. Race Condition in node-tar Path Reservations via Unicode Ligature Collisions on macOS APFS
    Wysoka · 8.8 CVE-2026-23950 < 7.5.4 7.5.4
  9. node-tar is Vulnerable to Arbitrary File Overwrite and Symlink Poisoning via Insufficient Path Sanitization
    Wysoka CVE-2026-23745 < 7.5.3 7.5.3
  10. Arbitrary File Creation/Overwrite via insufficient symlink protection due to directory cache poisoning using symbolic links
    Wysoka · 8.2 CVE-2021-37701 >= 3.0.0, < 4.4.16, >= 5.0.0, < 5.0.8, >= 6.0.0, < 6.1.7 4.4.16, 5.0.8, 6.1.7
  11. Arbitrary File Creation/Overwrite via insufficient symlink protection due to directory cache poisoning using symbolic links
    Wysoka · 8.2 CVE-2021-37712 >= 3.0.0, < 4.4.18, >= 5.0.0, < 5.0.10, >= 6.0.0, < 6.1.9 4.4.18, 5.0.10, 6.1.9
  12. Arbitrary File Creation/Overwrite on Windows via insufficient relative path sanitization
    Wysoka · 8.2 CVE-2021-37713 < 4.4.18, >= 5.0.0, < 5.0.10, >= 6.0.0, < 6.1.9 4.4.18, 5.0.10, 6.1.9
  13. Arbitrary File Creation/Overwrite due to insufficient absolute path sanitization
    Wysoka · 8.2 CVE-2021-32804 < 3.2.2, >= 4.0.0, < 4.4.14, >= 5.0.0, < 5.0.6, >= 6.0.0, < 6.1.1 3.2.2, 4.4.14, 5.0.6, 6.1.1
  14. Arbitrary File Creation/Overwrite via insufficient symlink protection due to directory cache poisoning
    Wysoka · 8.2 CVE-2021-32803 >= 3.0.0, < 3.2.3, >= 4.0.0, < 4.4.15, >= 5.0.0, < 5.0.7, >= 6.0.0, < 6.1.2 3.2.3, 4.4.15, 5.0.7, 6.1.2
  15. Arbitrary File Overwrite in tar ten wpis
    Wysoka · 7.5 CVE-2018-20834 >= 3.0.0, < 4.4.2, < 2.2.2 4.4.2, 2.2.2
  16. Symlink Arbitrary File Overwrite in tar
    Wysoka · 7.5 CVE-2015-8860 < 2.0.0 2.0.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.