PT-2026-43166 · Cpan · Archive Tar

Stig Palmquist · Publicado 2026-05-26 · Atualizado 2026-05-28 · CVE-2026-9538

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Archive::Tar versões anteriores a 3.10

Description O Archive::Tar para Perl permite a exaustão de memória ao processar um cabeçalho tar com um campo de tamanho de entrada controlado por um invasor. A função read tar() lê a carga útil de cada entrada usando $handle->read($$data, $block), onde a variável $block é derivada do campo de tamanho de 12 bytes no cabeçalho tar sem um limite superior. Um cabeçalho manipulado especificando um tamanho de vários gigabytes força o Perl a alocar um escalar desse tamanho, levando à exaustão de memória.

Recommendations Atualize para a versão 3.10 ou posterior.

Correção

Enumeração de Fraquezas

CWE-789

Identificadores relacionados

CVE-2026-9538

ECHO-E379-3651-BF29

Produtos afetados

Archive Tar

Referências · 14

• https://github.com/jib/archive-tar-new/commit/f9af01426038e29d9578825a0cd3626946ab08c7.patch · Correção
• https://twitter.com/oss_security/status/2059147989470400910 · Publicação no Twitter
• https://metacpan.org/release/BINGOS/Archive-Tar-3.10/changes · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-9538 · Aviso do Fabricante
• https://docs.bell-sw.com/security/cves/CVE-2026-9538 · Nota
• https://osv.dev/vulnerability/BELL-CVE-2026-9538 · Aviso do Fabricante
• https://t.me/CVEtracker/54939 · Publicação no Telegram
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-9538 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-9538 · Nota de Segurança
• https://ubuntu.com/security/CVE-2026-9538 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2026/05/26/4 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-9538 · Aviso do Fabricante
• https://lists.security.metacpan.org/cve-announce/msg/40396448 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-9538 · Nota de Segurança