Rsync-fil synkroniseringsværktøjet er opdateret for at fjerne 6 ret kritiske sårbarheder. For at udføre et angreb med nogle af dem kræves blot en anonym forbindelse til Rsync-serveren med læseadgang.
Rettede sårbarheder:
- CVE-2024-12084 — buffer overflow ved at sende en forkert kontrolsum, hvis størrelse overstiger 16 byte.
- CVE-2024-12085 — lækage af indholdet af ikke-initialiserede data fra stakken (én byte ad gangen) under sammenligning af kontrolsummer af forkert størrelse.
- CVE-2024-12086 — serveradgang til indholdet af vilkårlige filer fra klientens system ved at generere ugyldige kommunikations tokens og kontrolsummer under kopiering af filer fra klienten til serveren (bestemmelse af indhold byte-for-byte ved at gætte kontrolsummen).
- CVE-2024-12087 — udgang over hovedkataloget ved brug af indstillingen —inc-recursive (som er aktiveret som standard for mange flag). Sårbarheden skyldes manglende korrekt kontrol af symbolske links og kan tillade skrivning af filer udenfor det angivne målmappe. En server under angriberens kontrol kan udnytte sårbarheden til at angribe klientens system.
- CVE-2024-12088 — ukorrekt kontrol af symbolske links, der peger på andre symbolske links, ved brug af indstillingen —safe-links. Problemet giver mulighed for at gå udenfor hovedkataloget og skrive data til enhver fil i systemet, som adgangsrettighederne tillader.
- CVE-2024-12747 — race condition ved arbejde med symbolske links, der giver brugeren mulighed for at hæve sine privilegier og få adgang til privilegerede filer på serveren.
Denne liste over udbedrede sårbarheder er hentet fra OpenNET-webstedet: https://www.opennet.ru/opennews/art.shtml?num=62557
Andre ændringer i den nye version:
- configure.ac: rettet en fejl i IPv6-kontrol på grund af manglende returtype.
- CI: bygningen for FreeBSD er flyttet til GitHub Actions.
- Tilføjet en tip om, at proxyen kan håndtere både almindelige og SSL stream simultant.
- Advarsel om ubrugte variable er blevet fjernet.
- Opdatering af popt til version 1.19.
- Support: tilføjet script install_deps_ubuntu.sh.
- CI: rettet regler for triggere.
- CI: tilføjet bygning for Solaris.
- Apple silicon linker sti detaljer.
- acls: synkroniseringstype for orig_umask og fjernelse af kompilationsadvarsler for macOS.
- Forskellige advarsler opdaget af clang-16 er blevet rettet.
- rrsync: rettet en forkert parameterbetegnelse i SYNOPSIS-manualen.
- PTR_SUB introduceret.
- Tilføjet mulighed for grundlæggende forbindelseskontrol via rrsync.
- Hvis den indbyggede zlib ikke bruges, anvendes libcrypto.
- Justering for GCC15(-std=gnu23): rettet funktion pointer casting i qsort().
- Slåfejl i manualen er blevet rettet.
Kilde: linux.org.ru
