CVE-2026-109380
Vulnérabilité élevée dans modern-tar (ayuhito)
CVSS 8.7 · Élevée
EPSS 0.4%
ayuhito•modern-tar•Versions : 0.3.5, <=0.8.5
Description
modern-tar 0.3.5 through 0.8.5 contains a memory exhaustion vulnerability that allows attackers to produce negative entry sizes via non-octal bytes parsed by readOctal(). Attackers can supply a crafted, optionally gzip-compressed, archive to unpackTar() that buffers chunks indefinitely, exhausting process memory and suppressing later entries.
Gravité et risque d'exploitation
CVE-2026-109380 obtient un score CVSS de 8.7/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.45 %, ce qui la place devant 37.4 % des CVE référencées.
Que faire ?
- Vérifiez si modern-tar (versions 0.3.5, <=0.8.5) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/ayuhito/modern-tar/pull/195
- https://github.com/ayuhito/modern-tar/commit/181c8cb75351867535057817ada4802a90fe416e
- https://github.com/ayuhito/modern-tar/blob/v0.8.5/src/tar/encoding.ts
- https://github.com/ayuhito/modern-tar
- https://www.vulncheck.com/advisories/modern-tar-0.3.5-through-0.8.5-memory-exhaustion-via-malformed-octal-size-field