Rsync 3.4.0

L'outil de synchronisation de fichiers Rsync a été mis à jour pour corriger 6 vulnérabilités critiques. Pour lancer une attaque utilisant l'une d'elles, un accès anonyme au serveur Rsync en lecture seule est suffisant.

Vulnérabilités corrigées :

• CVE-2024-12084 — dépassement de tampon via le passage d'un contrôle incorrect dont la taille dépasse 16 octets.
• CVE-2024-12085 — fuite de contenu de données non initialisées à partir de la pile (un octet à la fois) lors de l'exécution d'opérations de comparaison de contrôles de taille incorrecte.
• CVE-2024-12086 — accès par le serveur au contenu de fichiers arbitraires depuis le système client via la génération par le serveur de jetons de communication incorrects et de contrôles lors de la copie de fichiers du client vers le serveur (détermination du contenu octet par octet par essai de contrôle).
• CVE-2024-12087 — dépassement du répertoire de base lors de l'utilisation de l'option —inc-recursive (activée par défaut pour de nombreux drapeaux). La vulnérabilité est causée par un manque de vérification adéquate des liens symboliques, permettant d'écrire des fichiers en dehors du répertoire cible indiqué par le client. Un serveur contrôlé par un attaquant peut exploiter cette vulnérabilité pour attaquer le système du client qui se connecte.
• CVE-2024-12088 — vérification incorrecte des liens symboliques qui pointent vers d'autres liens symboliques lors de l'utilisation de l'option —safe-links. Le problème permet de sortir du répertoire de base et d'écrire des données dans n'importe quel fichier du système, dans la mesure où les droits d'accès le permettent.
• CVE-2024-12747 — condition de compétition lors de l'utilisation de liens symboliques, permettant à un utilisateur d'élever ses privilèges et d'accéder à des fichiers privilégiés sur le serveur.

Cette liste de vulnérabilités corrigées provient du site OpenNET : https://www.opennet.ru/opennews/art.shtml?num=62557

Autres modifications dans la nouvelle version :

• configure.ac : correction d'un problème de vérification IPv6 dû à un type de retour manquant.
• CI : migration de la construction pour FreeBSD vers GitHub Actions.
• Ajout d'un message indiquant que le proxy peut traiter à la fois un SSL flux normal et fluide simultanément.
• Avertissement sur une variable non utilisée corrigé.
• Mise à jour de popt vers la version 1.19.
• Support : ajout du script install_deps_ubuntu.sh.
• CI : correction des règles pour les déclencheurs.
• CI : ajout d'une construction pour Solaris.
• Détails du chemin du lieur Apple silicon.
• acls : synchronisation du type pour orig_umask et élimination des avertissements de compilation pour macOS.
• Divers avertissements trouvés dans clang-16 ont été corrigés.
• rrsync : correction d'un nom de paramètre incorrect dans le SYNOPSIS du manuel.
• PTR_SUB a été introduit.
• Ajout de la possibilité d'une vérification de connexion de base via rrsync.
• Si la zlib intégrée n'est pas utilisée, libcrypto est utilisée.
• Ajustement pour GCC15 (-std=gnu23) : correction de la conversion de pointeur de fonction dans qsort().
• Corrections de coquilles dans le manuel.

Source : linux.org.ru