Verktyget för filsynkronisering Rsync har uppdaterats med ÄtgÀrd av 6 kritiska sÄrbarheter. För att utföra en attack med hjÀlp av vissa av dem rÀcker det med anonyma anslutningar till Rsync-servern med lÀsbehörighet.
à tgÀrdade sÄrbarheter:
- CVE-2024-12084 â buffertöverskridning genom att skicka en ogiltig kontrollsumma vars storlek överstiger 16 byte.
- CVE-2024-12085 â lĂ€ckage av innehĂ„ll frĂ„n icke-initialiserade data frĂ„n stacken (ett byte i taget) under jĂ€mförelseoperationer med ogiltiga kontrollsummor.
- CVE-2024-12086 â Ă„tkomst till innehĂ„llet i godtyckliga filer frĂ„n klientens system via generering av ogiltiga kommunikationstokens och kontrollsummor av servern under filöverföring frĂ„n klient till server (byte-för-byte-innehĂ„llsidentifiering genom kontrollsummegenomgĂ„ng).
- CVE-2024-12087 â uttrĂ€de utanför baskatalogen vid anvĂ€ndning av alternativet âinc-recursive (inkluderat som standard för mĂ„nga flaggor). SĂ„rbarheten orsakas av brist pĂ„ korrekt kontroll av symboliska lĂ€nkar och möjliggör skrivning av filer utanför den angivna mĂ„lkatalogen. En server, som kontrolleras av en angripare, kan utnyttja sĂ„rbarheten för att attackera den anslutna klientens system.
- CVE-2024-12088 â felaktig kontroll av symboliska lĂ€nkar som pekar pĂ„ andra symboliska lĂ€nkar vid anvĂ€ndning av alternativet âsafe-links. Problemet gör det möjligt att komma utanför baskatalogen och skriva data till valfri fil i systemet, sĂ„ lĂ€nge behörigheterna tillĂ„ter det.
- CVE-2024-12747 â tĂ€vlingsförhĂ„llande vid arbete med symboliska lĂ€nkar som möjliggör för anvĂ€ndaren att höja sina privilegier och fĂ„ Ă„tkomst till privilegierade filer pĂ„ servern.
Denna lista över ÄtgÀrdade sÄrbarheter Àr hÀmtad frÄn OpenNETs webbplats: https://www.opennet.ru/opennews/art.shtml?num=62557
Andra förÀndringar i den nya versionen:
- configure.ac: ÄtgÀrdat ett fel i IPv6-kontrollen pÄ grund av en saknad returtyp.
- CI: flyttat byggprocessen för FreeBSD till GitHub Actions.
- En ledtrÄd har lagts till att proxyn kan hantera bÄde vanlig och SSL ström samtidigt.
- Varning om oanvÀnd variabel har ÄtgÀrdats.
- Uppdatering av popt till version 1.19.
- Support: skriptet install_deps_ubuntu.sh har lagts till.
- CI: reglerna för triggers har ÄtgÀrdats.
- CI: byggprocessen för Solaris har lagts till.
- Detaljer om lÀnkvÀgen för Apple silicon.
- acls: typ synkronisering för orig_umask och ÄtgÀrda kompilationsvarningar för macOS.
- Fixade olika varningar som hittades av clang-16.
- rrsync: ÄtgÀrdat felaktigt namn pÄ parameter i SYNOPSIS-manualen.
- PTR_SUB har införts.
- Möjlighet till grundlÀggande anslutningskontroll via rrsync har lagts till.
- Om den inbyggda zlib inte anvÀnds, anvÀnds libcrypto.
- Justering för GCC15(-std=gnu23): rÀttat typkonvertering av funktionspekare i qsort().
- Stavfel har rÀttats i manualen.
KĂ€lla: linux.org.ru
