Обновлена утилита для синхронизации файлов Rsync с устранением 6 достаточно критичных уязвимостей. Для совершения атаки с применением некоторых их них достаточно анонимного подключения к серверу Rsync с доступом на чтение.
Исправленные уязвимости:
- CVE-2024-12084 — запись за пределы выделенного буфера через передачу некорректной контрольной суммы, размер которой превышает 16 байт.
- CVE-2024-12085 — утечка содержимого неинициализированных данных из стека (по одному байту за раз) при выполнении операций сравнения контрольных сумм некорректного размера.
- CVE-2024-12086 — получение доступа сервера к содержимому произвольных файлов из системы клиента через генерацию сервером некорректных коммуникационных токенов и контрольных сумм в процессе копирования файлов от клиента на сервер (определение содержимого байт за байтом через подбор контрольной суммы).
- CVE-2024-12087 — выход за пределы базового каталога при использовании опции
--inc-recursive(включается по умолчанию для многих флагов). Уязвимость вызвана отсутствуем должной проверки символических ссылок и позволяет записать файлы за пределами указанного клиентом целевого каталога. Подконтрольный атакующему сервер может использовать уязвимость для атаки на систему подключившегося клиента. - CVE-2024-12088 — некорректная проверка символических ссылок, указывающих на другие символические ссылки, при использовании опции
--safe-links. Проблема даёт возможность выйти за пределы базового каталога и записать данные в любой файл в системе, насколько это позволяют права доступа. - CVE-2024-12747 — состояние гонки при работе с символическими ссылками, позволяющее пользователю повысить свои привилегии и получить доступ к привилегированным файлам на сервере.
Данный список устраненных уязвимостей взят с сайта OpenNET: https://www.opennet.ru/opennews/art.shtml?num=62557
Другие изменения в новой версии:
- configure.ac: исправлена ошибка проверки IPv6 из-за отсутствующего типа возврата.
- CI: перенесена сборка для FreeBSD в GitHub Actions.
- Добавлена подсказка, что прокси может обрабатывать как обычный, так и SSL поток одновременно.
- Устранено предупреждение о неиспользуемой переменной.
- Обновление popt до версии 1.19.
- Поддержка: добавлен скрипт install_deps_ubuntu.sh.
- CI: исправлены правила для триггеров.
- CI: добавлена сборка для Solaris.
- Apple silicon linker path details.
- acls: синхронизация типа для
orig_umaskи устранение предупреждений компиляции для macOS. - Исправлены различные предупреждения, найденные clang-16.
- rrsync: исправлено неверное название параметра в SYNOPSIS мануала.
- Введен
PTR_SUB. - Добавлена возможность базовой проверки подключения через rrsync.
- В случае, если не используется встроенная zlib, используется libcrypto.
- Корректировка для GCC15(-std=gnu23): исправлен каст указателя функции в
qsort(). - Исправлены опечатки в мануале.
>>> Подробности
