Rsync 3.4.0

Rsynci failide sünkroonimise tööriist on värskendatud, eemaldades 6 piisavalt kriitilist haavatavust. Rünnaku teostamiseks piisab anonüümsest ühendusest Rsynci serveriga lugemisõigustega.

Parandatud haavatavused:

• CVE-2024-12084 — mälu ületav kirjutamine vale kontrollsummaga, mille suurus ületab 16 baiti.
• CVE-2024-12085 — mittealgsete andmete lekkimine virnast (üks bait korraga) vale kontrollsuuruse kontrollsummade võrdlemise käigus.
• CVE-2024-12086 — serveri ligipääs kliendi süsteemi juhuslike failide sisule vale kommunikatsiooni tokenite ja kontrollsummade genereerimise kaudu failide kopeerimisel kliendilt serverisse (sisu määramine baitide kaupa kontrollsummade proovimise kaudu).
• CVE-2024-12087 — baaskaustast väljas kirjutamine —inc-recursive valiku kasutamisel (mis on vaikimisi lubatud paljude lippude jaoks). Haavatavus tuleneb sümboolsete linkide nõuetekohase kontrolli puudumisest ja võimaldab kirjutada faile klient poolt määratud sihtkaustast väljapoole. Ründaja kontrollitud server võib kasutada seda haavatavust kliendi süsteemi ründamiseks.
• CVE-2024-12088 — vale sümboolsete linkide kontroll, mis osutab teistele sümboolsetele linkidele, —safe-links valiku kasutamisel. Probleem võimaldab väljuda baaskaustast ja kirjutada andmeid igasse faili süsteemis, nii palju kui lubavad ligipääsured.
• CVE-2024-12747 — sümboolsete linkidega töötamise käigus esinev võidujooks, mis võimaldab kasutajal oma õigusi tõsta ja saada ligipääsu privileeritud failidele serveris.

See loetelu kõrvaldatud haavatavustest on pärit OpenNETi veebisaidilt: https://www.opennet.ru/opennews/art.shtml?num=62557

Teised muudatused uues versioonis:

• configure.ac: IPv6 kontrolli viga on parandatud, kuna tagastustüüp puudub.
• CI: FreeBSD kogumise liigutamine GitHub Actionsi.
• Lisatud vihje, et proxy võib käsitleda nii tavalist kui ka SSL voogu samaaegselt.
• Eemaldatud hoiatust mittekasutatava muutuja kohta.
• Popti värskendamine versioonile 1.19.
• Tugi: lisatud skript install_deps_ubuntu.sh.
• CI: reeglite parandamine käivituste jaoks.
• CI: Solaris kogumise lisamine.
• Apple silicon linker path details.
• acls: tüü sünkroniseerimine orig_umask'ile ja kompileerimishoiatuste kõrvaldamine macOS-i jaoks.
• Parandatud mitmed clang-16 leitud hoiatused.
• rrsync: parandatud vale parameetrite nimetus manuaali SYNOPSIS-s.
• Sisse viidud PTR_SUB.
• Lisatud põhijuurdepääsu kontrollimise võimalus rrsynci kaudu.
• Kui sisseehitatud zlib ei ole kasutusel, kasutatakse libcrypto.
• Kohandamine GCC15(-std=gnu23) jaoks: parandatud funktsiooni pointeri ülekastmine qsort()s.
• Parandatud trükivead manuaalis.

Allikas: linux.org.ru