Utiliteta za sinhronizaciju datoteka Rsync je ažurirana kako bi se eliminisalo 6 značajnih ranjivosti. Za izvršenje napada korišćenjem nekih od njih, dovoljno je anonimno povezivanje na Rsync server sa pristupom za čitanje.
Odpravljene ranljivosti:
- CVE-2024-12084 — prekoračenje bafera putem slanja neispravnog kontrolnog zbira, čija veličina premašuje 16 bajtova.
- CVE-2024-12085 — curenje sadržaja neinicijalizovanih podataka iz steka (po jedan bajt u vreme) tokom upoređivanja kontrolnih zbirova neispravne veličine.
- CVE-2024-12086 — omogućavanje serveru pristup sadržaju proizvoljnih datoteka iz sistema klijenta putem generisanja neispravnih komunikacionih tokova i kontrolnih zbirova tokom kopiranja datoteka sa klijenta na server (određivanje sadržaja bajt po bajt kroz pogađanje kontrolnog zbira).
- CVE-2024-12087 — prekoračenje osnovnog direktorijuma prilikom korišćenja opcije —inc-recursive (koja je podrazumevano uključena za mnoge zastavice). Ova ranjivost je uzrokovana nedostatkom adekvatne provere simboličkih linkova i omogućava pisanje datoteka izvan ciljnog direktorijuma koji je naveo klijent. Kontrolisani server od strane napadača može iskoristiti ovu ranjivost za napad na sistem klijenta koji se povezuje.
- CVE-2024-12088 — neispravna provera simboličkih linkova koji upućuju na druge simboličke linkove pri korišćenju opcije —safe-links. Ovaj problem omogućava izlazak izvan osnovnog direktorijuma i pisanje podataka u bilo koju datoteku u sistemu, s obzirom na dodeljena prava pristupa.
- CVE-2024-12747 — stanje trke pri radu sa simboličkim linkovima, omogućavajući korisniku da poveća svoje privilegije i dobije pristup privilegovanim datotekama na serveru.
Ova lista ispravljenih ranjivosti preuzeta je sa sajta OpenNET: https://www.opennet.ru/opennews/art.shtml?num=62557
Drže promene u novoj verziji:
- configure.ac: ispravljena greška u proverenju IPv6 zbog nedostajuće vrednosti povratka.
- CI: prebačena izrada za FreeBSD u GitHub Actions.
- Dodato je obaveštenje da proxy može obraditi i običan i SSL tok istovremeno.
- Ispravljeno upozorenje o neiskorišćenoj varijabli.
- Ažuriranje popt na verziju 1.19.
- Podrška: dodat skript install_deps_ubuntu.sh.
- CI: ispravljenih pravila za okidače.
- CI: dodata izrada za Solaris.
- Detalji o putanjama povezivača za Apple silicon.
- acls: sinhronizacija tipa za orig_umask i uklanjanje upozorenja pri kompajliranju za macOS.
- Ispravljene razne poruke upozorenja pronađene u clang-16.
- rrsync: ispravljeno pogrešno ime parametra u SYNOPSIS priručnika.
- Uveden PTR_SUB.
- Dodana mogućnost osnovne provjere veze putem rrsync-a.
- Ako se ne koristi ugrađena zlib, koristi se libcrypto.
- Ispravka za GCC15 (-std=gnu23): ispravljeno pretvaranje pokazivača funkcije u qsort().
- Ispravljene tipfeleru u priručniku.
Izvor: linux.org.ru
