PT-2026-43163 · Cpan · Archive Tar

Stig Palmquist · Publicado 2026-05-26 · Atualizado 2026-05-28 · CVE-2026-42497

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Archive::Tar versões anteriores a 3.08

Description O Archive::Tar para Perl permite a extração de hardlinks para caminhos controlados por atacantes fora do diretório de extração pretendido. A função make special file() passa o linkname do cabeçalho tar para link() sem validá-lo contra caminhos absolutos ou segmentos .., criando um hardlink que compartilha o inode do arquivo vítima. Uma gravação subsequente através do nome extraído modifica o arquivo vítima. Além disso, o bloco de chmod, chown e utime pós-extração em extract file() aplica o modo, proprietário e carimbos de data/hora do cabeçalho tar ao inode compartilhado durante a extração, pois é protegido apenas contra symlinks via -l.

Recommendations Atualize para a versão 3.08 ou posterior.

Correção

Link Following

Incorrect Permission

Enumeração de Fraquezas

CWE-59

CWE-732

Identificadores relacionados

CVE-2026-42497

ECHO-CFD1-A043-7D5C

Produtos afetados

Archive Tar

Referências · 15

• https://github.com/jib/archive-tar-new/commit/17c873492a05eddc0de18c1485e0b2cccd5a9158.patch · Correção
• https://security-tracker.debian.org/tracker/CVE-2026-42497 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-42497 · Nota de Segurança
• https://docs.bell-sw.com/security/cves/CVE-2026-42497 · Nota
• https://cve.org/CVERecord?id=CVE-2026-42497 · Nota de Segurança
• https://twitter.com/oss_security/status/2059147989470400910 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-42497 · Aviso do Fabricante
• https://metacpan.org/release/BINGOS/Archive-Tar-3.08/changes · Nota
• https://osv.dev/vulnerability/BELL-CVE-2026-42497 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-42496 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2059088825377263871 · Publicação no Twitter
• https://t.me/CVEtracker/54938 · Publicação no Telegram
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-42497 · Aviso do Fabricante
• https://lists.security.metacpan.org/cve-announce/msg/40396457 · Nota
• https://ubuntu.com/security/CVE-2026-42497 · Aviso do Fabricante