Қауіпкер басқаратын rsync серверіне қатынасу кезінде мақсатты каталогтағы ерікті файлдарды пайдаланушы жағында жазуға немесе қайта жазуға мүмкіндік беретін файлдарды синхрондау және сақтық көшірме жасау утилитасы rsync бағдарламасында осалдық (CVE-2022-29154) анықталды. Ықтимал, шабуыл клиент пен заңды сервер арасындағы транзиттік трафикке кедергі (MITM) нәтижесінде де жүзеге асырылуы мүмкін. Ақау Rsync 3.2.5pre1 сынақ шығарылымында түзетілген.
Осалдық SCP-дегі бұрынғы мәселелерді еске түсіреді және сонымен бірге сервер жазылатын файлдың орналасқан жері туралы шешім қабылдауынан және клиенттің серверден сұралған нәрсемен бірге қайтарғанын дұрыс тексермеуінен, серверге бастапқыда клиент сұрамаған файлдарды жазу. Мысалы, егер пайдаланушы файлдарды үй каталогына көшірсе, сервер сұралған файлдардың орнына .bash_aliases немесе .ssh/authorized_keys деп аталатын файлдарды қайтаруы мүмкін және олар пайдаланушының үй каталогында сақталады.
Ақпарат көзі: opennet.ru