PT-2026-43162 · Cpan · Archive Tar

Stig Palmquist · Publicado 2026-05-26 · Atualizado 2026-05-30 · CVE-2026-42496

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Archive::Tar versões anteriores a 3.08

Description O Archive::Tar para Perl permite a extração de links simbólicos (symlinks) com alvos controlados por um invasor localizados fora do diretório de extração. A função make special file() passa o linkname do cabeçalho do tar para symlink() sem validá-lo contra caminhos absolutos ou segmentos ... Embora exista um modo de extração segura para proteger a extração de arquivos regulares, ele não abrange o alvo do link simbólico. Consequentemente, uma operação de abertura subsequente através do nome extraído pode ler ou gravar em um caminho escolhido pelo invasor.

Recommendations Atualize o Archive::Tar para a versão 3.08 ou posterior.

Correção

Link Following

Enumeração de Fraquezas

CWE-59

Identificadores relacionados

CVE-2026-42496

ECHO-1732-BCF6-7970

Produtos afetados

Archive Tar

Referências · 17

• https://github.com/jib/archive-tar-new/commit/17c873492a05eddc0de18c1485e0b2cccd5a9158.patch · Correção
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-42496 · Aviso do Fabricante
• https://lists.security.metacpan.org/cve-announce/msg/40396459 · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-42496 · Aviso do Fabricante
• https://docs.bell-sw.com/security/cves/CVE-2026-42496 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-42496 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-42496 · Nota de Segurança
• https://ubuntu.com/security/CVE-2026-42496 · Aviso do Fabricante
• https://t.me/cveNotify/164904 · Publicação no Telegram
• https://osv.dev/vulnerability/BELL-CVE-2026-42496 · Aviso do Fabricante
• https://twitter.com/UpwindMDR/status/2060815219169841387 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-42497 · Nota de Segurança
• https://twitter.com/oss_security/status/2059147989470400910 · Publicação no Twitter
• https://metacpan.org/release/BINGOS/Archive-Tar-3.08/changes · Nota
• https://cve.org/CVERecord?id=CVE-2026-42496 · Nota de Segurança