漏洞情报 | Archive_Tar 链接跟随漏洞

0x01 漏洞描述

Archive_Tar是PHP Pear团队的一个基于PHP的可以对tar包进行创建、提取等操作的软件。

360漏洞云监测到Archive_Tar存在链接跟随漏洞（CVE-2021-32610）。该漏洞源于应用在提取归档中的文件时未检查其是否为符号链接，远程攻击者可通过传送特殊构造的文件到应用，实现遍历目录或任意文件覆写。

Backdrop和Drupal等内容管理系统（CMS）因使用Archive_Tar库而受到此漏洞影响，攻击者可利用此漏洞在Backdrop和Drupal中实现任意代码执行。

0x02 危害等级

高危：7.5

0x03 影响版本

Archive_Tar <1.4.14

0x04 修复版本

Archive_Tar 1.4.14

Backdrop CMS 1.19.2

Drupal 9.2.2

Drupal 9.1.11

Drupal 8.9.17

Drupal 7.82

0x05 修复建议

厂商已发布升级修复漏洞，用户请尽快更新至安全版本。

0x06 获取本情报的更多详情

建议您订阅360漏洞云-漏洞情报服务，获取更多漏洞情报详情以及处置建议，让您的企业远离漏洞威胁。

电话：010-52447660

邮箱：loudongyun@360.cn

网址：https://loudongyun.360.cn