CVE-2026-5704 describes a hidden file injection vulnerability discovered in GNU tar. An attacker can exploit this flaw by crafting a specially designed archive, bypassing pre-extraction inspection and introducing malicious files onto a system without detection. This vulnerability impacts versions 1.0.0 through 1.36.0 of tar, and a fix is available in version 1.37.0.
tar ユーティリティに深刻な脆弱性 (CVE-2026-5704) が発見され、Red Hat Enterprise Linux 10 に影響を与えます。この脆弱性を悪用すると、リモートの攻撃者が、事前抽出検査メカニズムを回避して、システムに悪意のあるファイルを挿入できます。攻撃者はこれらのファイルのコンテンツを完全に制御できるため、不正なコードの実行、データの改ざん、またはシステムの侵害につながる可能性があります。CVSS スコアは 5.0 で、中程度のリスクを示します。このリスクを軽減するには、tar をバージョン 1.37.0 以降に更新することが不可欠です。KEV (Kernel Event Notification) がないことは、セキュリティ情報が限られていることを示しており、公式の Red Hat ソースで更新を監視することをお勧めします。
攻撃者は、検査を回避するように設計された名前または構造を持つファイルを含む悪意のある tar アーカイブを作成することで、この脆弱性を悪用する可能性があります。脆弱なシステムにこのアーカイブを抽出すると、攻撃者は自動的に実行される、または機密データへの不正アクセスを可能にする悪意のあるファイルを導入する可能性があります。このタイプの攻撃は、tar アーカイブが外部ソースから受信されるか、ソフトウェアを配布するために使用される環境で特に危険です。エクスプロイトの複雑さは、既存のセキュリティメカニズムを回避できる tar アーカイブを作成する攻撃者の能力に依存します。
Systems that frequently process archives from untrusted sources are at higher risk. This includes build servers, automated deployment pipelines, and systems that handle user-uploaded files. Shared hosting environments where multiple users extract archives on the same system are also particularly vulnerable, as a malicious archive uploaded by one user could potentially impact other users.
• linux / server:
journalctl -u tar | grep -i 'error' -i 'warning'
auditctl -w /usr/bin/tar -p x -k tar_injection• generic web:
curl -I http://your-server/extract_archive.sh | grep 'Content-Type' # Check for unexpected content typesdisclosure
エクスプロイト状況
EPSS
0.03% (7% パーセンタイル)
CISA SSVC
この脆弱性に対処するための主な解決策は、Red Hat Enterprise Linux 10 上で tar パッケージをバージョン 1.37.0 以降に更新することです。Red Hat は、標準のパッケージ管理チャネル (yum または dnf) を通じてセキュリティアップデートを提供します。特に、信頼できないネットワークにさらされているシステムや機密データを処理しているシステムでは、できるだけ早くこのアップデートを適用することをお勧めします。さらに、既存のセキュリティポリシーを確認して、適切なアクセス制御が実装されていること、およびシステムが疑わしい活動を監視していることを確認してください。抽出する前に tar アーカイブの整合性を確認することは、追加の予防措置です。
Actualice el paquete 'tar' a la versión 1.37.0 o superior para mitigar la vulnerabilidad de inyección de archivos ocultos. Esta actualización corrige el problema al validar correctamente los nombres de los archivos durante el proceso de extracción, previniendo la creación de archivos ocultos no deseados. Consulte las notas de la versión de Red Hat para obtener instrucciones detalladas de actualización.
脆弱性分析と重要アラートをメールでお届けします。
これは tar ユーティリティのセキュリティ脆弱性のためのユニークな識別子です。
システムにインストールされている tar のバージョンを確認してください。1.37.0 より古い場合は、脆弱です。
厳格なアクセス制御を実装し、システムを疑わしい活動がないか監視してください。
現在、この特定の目的で広く利用可能なツールはありません。更新が最良の防御です。
KEV は Kernel Event Notification の略です。その欠如は、この脆弱性に関する情報が限られていることを示唆しています。
CVSS ベクトル