Frissült az Rsync fájlszinkronizáló segédprogram, a hat számottevően kritikus sérülékenység javításával. Az egyik támadás végrehajtásához elegendő egy névtelen kapcsolat az Rsync szerverhez, amely olvasási hozzáféréssel rendelkezik.
Javított sebezhetőségek:
- CVE-2024-12084 — túlfolyás a lefoglalt puffer határain kívül, hibás ellenőrzőösszeg átvitelekor, amely meghaladja a 16 bájtot.
- CVE-2024-12085 — inicializálatlan adatok tartalmának szivárgása a veremből (byte-onként) hibás méretű ellenőrzőösszeg-összehasonlítások végrehajtása során.
- CVE-2024-12086 — a szerver hozzáférése tetszőleges fájlok tartalmához az ügyfél rendszeréből a szerver által hibás kommunikációs tokenek és ellenőrzőösszegek generálása révén, miközben fájlokat másol az ügyféltől a szerverre (a tartalom byte-onkénti meghatározása az ellenőrzőösszeg kitalálásával).
- CVE-2024-12087 — a bázis könyvtáron túli elérés az —inc-recursive opció használata esetén (amely alapértelmezés szerint aktiválva van sok flag számára). A sérülékenységet a szimbolikus linkek megfelelő ellenőrzésének hiánya okozza, és lehetővé teszi fájlok írását a megadott célkönyvtáron kívül. A támadó által ellenőrzött szerver kihasználhatja a sérülékenységet a csatlakozó ügyfél rendszerére indított támadáshoz.
- CVE-2024-12088 — hibás szimbolikus linkek ellenőrzése, amelyek más szimbolikus linkekre mutatnak, az —safe-links opció használata során. A probléma lehetővé teszi a bázis könyvtáron kívüli írást bármely fájlba a rendszerben, amennyire azt a hozzáférési jogok lehetővé teszik.
- CVE-2024-12747 — versenyhelyzet a szimbolikus linkek használata során, amely lehetővé teszi a felhasználó számára privilégiumaik megerősítését és hozzáférést nyerhet egyes privilegizált fájlokhoz a szerveren.
Ez a kijavított sérülékenységeket tartalmazó lista az OpenNET weboldaláról származik: https://www.opennet.ru/opennews/art.shtml?num=62557
Egyéb változások az új verzióban:
- configure.ac: javítva az IPv6 ellenőrzési hiba a hiányzó visszatérési típus miatt.
- CI: a FreeBSD építése átkerült a GitHub Actions-be.
- Hozzáadva egy tipp, hogy a proxy egyszerre tudja kezelni a normál és a SSL folyamot.
- Eltávolítva a nem használt változóval kapcsolatos figyelmeztetés.
- A popt frissítése 1.19 verzióra.
- Támogatás: hozzáadva az install_deps_ubuntu.sh script.
- CI: javítva a triggerekkel kapcsolatos szabályok.
- CI: építés hozzáadva Solarisra.
- Apple silicon linker path részletek.
- acls: az orig_umask típus szinkronizálása és a macOS-re vonatkozó figyelmeztetések eltávolítása.
- Számos figyelmeztetés javítva, amelyet a clang-16 talált.
- rrsync: a paraméter helytelen neve javítva a SYNOPSIS kézikönyvben.
- Bevezetve a PTR_SUB.
- Lehetővé vált az alapvető csatlakozási ellenőrzés a rrsync-en keresztül.
- Ha a beépített zlib nem használatos, akkor a libcrypto kerül felhasználásra.
- Javítás GCC15(-std=gnu23) esetén: a qsort()-ban a funkciómutató típusa javítva.
- Elgépelések javítva a kézikönyvben.
Forrás: linux.org.ru
