Uslužni program za sinkronizaciju datoteka Rsync ažuriran je kako bi uklonio 6 prilično kritičnih ranjivosti. Za izvođenje napada pomoću nekih od njih dovoljna je anonimna veza s Rsync poslužiteljem s pristupom za čitanje.
Ispravljene ranjivosti:
- CVE-2024-12084 — pisanje izvan dodijeljenog međuspremnika putem prijenosa netočnog kontrolnog zbroja, čija veličina prelazi 16 bajtova.
- CVE-2024-12085 — curenje neinicijaliziranog sadržaja podataka iz stoga (jedan bajt odjednom) prilikom izvođenja operacija usporedbe kontrolnog zbroja netočne veličine.
- CVE-2024-12086 — dobivanje poslužiteljskog pristupa sadržaju proizvoljnih datoteka iz sustava klijenta putem poslužiteljskog generiranja netočnih komunikacijskih tokena i kontrolnih zbrojeva u procesu kopiranja datoteka s klijenta na poslužitelj (određivanje sadržaja bajt po bajt putem odabira kontrolnog zbroja).
- CVE-2024-12087 - ide izvan osnovnog direktorija kada se koristi opcija --inc-recursive (omogućena prema zadanim postavkama za mnoge oznake). Ranjivost je uzrokovana nedostatkom odgovarajuće provjere valjanosti simboličkih veza i dopušta pisanje datoteka izvan ciljnog direktorija navedenog od strane klijenta. Poslužitelj kojim upravlja napadač može iskoristiti ranjivost za napad na sustav povezanog klijenta.
- CVE-2024-12088 - netočna provjera simboličkih veza koje upućuju na druge simboličke veze pri korištenju opcije --safe-links. Problem omogućuje odlazak izvan osnovnog direktorija i pisanje podataka u bilo koju datoteku na sustavu, koliko dopuštaju dozvole.
- CVE-2024-12747 - uvjet utrke pri radu sa simboličkim vezama, dopuštajući korisniku da poveća svoje privilegije i dobije pristup privilegiranim datotekama na poslužitelju.
Ovaj popis riješenih ranjivosti preuzet je s web stranice OpenNET: https://www.opennet.ru/opennews/art.shtml?num=62557
Ostale izmjene u novoj verziji:
- configure.ac: Ispravljena neuspjeh provjere IPv6 zbog nedostatka povratne vrste.
- CI: verzija za FreeBSD premještena je u GitHub Actions.
- Dodan je savjet da proxy može obraditi i obične i SSL istovremeno strujati.
- Ispravljeno upozorenje o neiskorištenoj varijabli.
- Ažuriranje pop-a na verziju 1.19.
- Podrška: Dodana je skripta install_deps_ubuntu.sh
- CI: fiksna pravila za okidače.
- CI: dodana montaža za Solaris.
- Pojedinosti o putanji Apple silicijskog povezivača.
- acls: sinkronizirajte tip za orig_umask i uklonite upozorenja o kompajliranju za macOS.
- Popravljena razna upozorenja koja je pronašao clang-16.
- rrsync: ispravljen netočan naziv parametra u priručniku SYNOPSIS.
- Predstavljen PTR_SUB.
- Dodana mogućnost izvođenja osnovne provjere veze putem rrsync.
- Ako se ne koristi ugrađeni zlib, koristi se libcrypto.
- Ispravak za GCC15(-std=gnu23): fiksno prevođenje pokazivača funkcije u qsort().
- Greške u upisu u priručniku su ispravljene.
Izvor: linux.org.ru
