ファイル同期およびバックアップ用ユーティリティである rsync に脆弱性 (CVE-2022-29154) が確認されました。この脆弱性により、攻撃者が制御する rsync サーバーにアクセスすると、ターゲット ディレクトリ内の任意のファイルがユーザー側で書き込まれたり上書きされたりする可能性があります。潜在的に、この攻撃は、クライアントと正規のサーバー間の通過トラフィックの干渉 (MITM) の結果として実行される可能性もあります。この問題は、Rsync 3.2.5pre1 テスト リリースで修正されています。
この脆弱性は SCP の過去の問題を彷彿とさせますが、サーバーが書き込まれるファイルの場所を決定し、クライアントがサーバーから返された内容と要求された内容を適切にチェックしていないことによっても引き起こされ、サーバーが元々クライアントによって要求されていないファイルを書き込みます。たとえば、ユーザーがファイルをホーム ディレクトリにコピーすると、サーバーは要求されたファイルの代わりに .bash_aliases または .ssh/authorized_keys という名前のファイルを返し、それらはユーザーのホーム ディレクトリに保存されます。
出所： オープンネット.ru