Հայտնաբերվել է խոցելիություն (CVE-2022-29154) rsync-ում, որը ֆայլերի համաժամացման և պահուստավորման ծրագիր է, որը թույլ է տալիս թիրախային գրացուցակի կամայական ֆայլերը գրվել կամ վերագրվել օգտագործողի կողմից, երբ մուտք գործեք հարձակվողի կողմից վերահսկվող rsync սերվեր: Հնարավոր է, հարձակումը կարող է իրականացվել նաև հաճախորդի և օրինական սերվերի միջև տարանցիկ տրաֆիկի միջամտության (MITM) արդյունքում: Խնդիրը շտկված է Rsync 3.2.5pre1 թեստային թողարկումում:
Խոցելիությունը հիշեցնում է SCP-ի նախկին խնդիրները և պայմանավորված է նաև նրանով, որ սերվերը որոշում է կայացնում գրվող ֆայլի գտնվելու վայրի մասին, և հաճախորդը պատշաճ կերպով չի ստուգում, թե ինչ է վերադարձվում սերվերի կողմից պահանջվածով, ինչը թույլ է տալիս սերվերին. գրել ֆայլեր, որոնք ի սկզբանե չեն պահանջվել հաճախորդի կողմից: Օրինակ, եթե օգտվողը պատճենում է ֆայլերը հիմնական գրացուցակում, ապա սերվերը կարող է պահանջվող ֆայլերի փոխարեն վերադարձնել .bash_aliases կամ .ssh/authorized_keys անունով ֆայլեր, և դրանք կպահվեն օգտագործողի հիմնական գրացուցակում:
Source: opennet.ru