Rsync मा कमजोरी जसले फाइलहरूलाई क्लाइन्ट साइडमा ओभरराइट गर्न अनुमति दिन्छ

एउटा जोखिम (CVE-2022-29154) rsync मा पहिचान गरिएको छ, फाइल सिङ्क्रोनाइजेसन र ब्याकअपको लागि एक उपयोगिता, जसले लक्षित डाइरेक्टरीमा रहेका आर्बिट्ररी फाइलहरूलाई प्रयोगकर्ताको छेउमा लेख्न वा ओभरराइट गर्न अनुमति दिन्छ जब आक्रमणकर्ताद्वारा नियन्त्रित rsync सर्भरमा पहुँच गरिन्छ। सम्भावित रूपमा, ग्राहक र वैध सर्भर बीचको ट्रान्जिट ट्राफिकको साथ हस्तक्षेप (MITM) को परिणामको रूपमा पनि आक्रमण गर्न सकिन्छ। मुद्दा Rsync 3.2.5pre1 परीक्षण रिलीज मा फिक्स गरिएको छ।

कमजोरी SCP मा विगतका समस्याहरूको सम्झना दिलाउँछ र सर्भरले फाइलको स्थानको बारेमा निर्णय लिने कारणले गर्दा, र क्लाइन्टले सर्भरले के अनुरोध गरेको थियो भनेर ठीकसँग जाँच नगरेकोले, सर्भरलाई अनुमति दिँदै। ग्राहक द्वारा मूल रूपमा अनुरोध नगरिएको फाइलहरू लेख्नुहोस्। उदाहरणका लागि, यदि प्रयोगकर्ताले गृह डाइरेक्टरीमा फाइलहरू प्रतिलिपि गर्दछ भने, सर्भरले अनुरोध गरिएका फाइलहरूको सट्टा .bash_aliases वा .ssh/authorized_keys नामका फाइलहरू फर्काउन सक्छ, र तिनीहरू प्रयोगकर्ताको गृह डाइरेक्टरीमा भण्डारण हुनेछन्।

स्रोत: opennet.ru