Уязвимость в Rsync, позволяющая перезаписать файлы на стороне клиента

В rsync, утилите для синхронизации файлов и резервного копирования, выявлена уязвимость (CVE-2022-29154), позволяющая при обращении к rsync-серверу, подконтрольному злоумышленнику, записать или перезаписать произвольные файлы в целевом каталоге на стороне пользователя. Потенциально атака также может быть совершена в результате вмешательства (MITM) в транзитный трафик между клиентом и легитимным сервером. Проблема устранена в тестовом выпуске Rsync 3.2.5pre1.

Уязвимость напоминает прошлые проблемы в SCP и также вызвана тем, что сервер принимает решение о местоположении записываемого файла, а клиент должным образом не сверяет то, что отдаётся сервером с тем, что было запрошено, что позволяет серверу записать файлы, изначально не запрошенные клиентом. Например, в случае копирования пользователем файлов в домашний каталог, сервер может выдать вместо запрошенных файлов файлы с именами .bash_aliases или .ssh/authorized_keys, и они будут сохранены в домашнем каталоге пользователя.

מקור: opennet.ru