Megjelent az Rsync 3.5, a széles körben használt nyílt forráskódú fájlszinkronizáló és -átviteli eszköz új főverziója. A kiadás összesen 33 biztonsági hibát kezel, köztük egy kritikus és számos magas súlyosságú sebezhetőséget, emellett jelentősen szigorodott az elérési utak és az rsync daemon kezelése.
A projekt hivatalos changelogja szerint a problémák nagy részét az elérési utak kezelésének célzott biztonsági auditja és a daemon protokoll fuzzing vizsgálata során találták.
A legsúlyosabb, CVE-2026-53791 azonosítószámon nyilvántartott kritikus sebezhetőség azokat az rsync daemonokat érinti, amelyeknél engedélyezve van a proxy protocol = true beállítás. Korábban egy támadó közvetlenül a daemonhoz csatlakozva hamis PROXY fejlécet küldhetett, ezzel más forrás-IP-címet adhatott meg, és bizonyos esetekben megkerülhette az IP-címre épülő hozzáférés-vezérlést. Az Rsync 3.5 már csak a rendszergazda által megbízhatónak megadott proxyktól fogadja el ezeket az adatokat.
Számos további sebezhetőség a szimbolikus linkek és az elérési utak kezeléséhez kapcsolódik. Egyes hibák segítségével az rsync számára kijelölt könyvtáron kívüli fájlok olvasása vagy írása is lehetővé válhatott, bizonyos konfigurációk mellett pedig jogosultságkiterjesztésre is lehetőség nyílhatott. Szigorúbb ellenőrzést kapott többek között a –relative, –temp-dir, –link-dest és –remove-source-files használata, valamint az ACL-ek és a kiterjesztett fájlattribútumok kezelése. A korlátozott SSH-környezetekhez használható rrsync wrapper védelmét szintén megerősítették.
A 3.5 kiadás több, hálózaton keresztül előidézhető memóriakezelési problémát is kezel. A daemon protokoll fuzzing vizsgálata során több heapen kívüli írási hibát találtak a szűrők, argumentumok és hard linkek feldolgozásában. Egy másik kiemelt súlyosságú probléma speciálisan összeállított ellenőrzőösszeg-láncokkal rendkívüli processzorterhelést idézhetett elő.
Fontos változás érkezett a titkosított kapcsolatokhoz is. Az rsync-ssl stunnel használatakor korábban nem követelte meg megfelelően a kiszolgáló tanúsítványának ellenőrzését és annak összekapcsolását a kért gépnévvel, ami a támadó fél számára lehetőséget adhatott a kiszolgáló megszemélyesítésére. Az új verzió ezt már alapértelmezetten ellenőrzi, kivéve, ha a felhasználó kifejezetten a nem biztonságos működést választja.
A fejlesztők további biztonsági szigorításokat is beépítettek, köztük a naplókba kerülő fájlnevek vezérlőkaraktereinek kezelését, a proxyfejlécek méretének korlátozását és több egészszám-túlcsordulási lehetőség ellenőrzését. A változtatások mértéke miatt a 3.5 kiadás különösen fontos frissítés lehet az internet felől elérhető vagy több felhasználót kiszolgáló rsync daemonokat üzemeltető rendszergazdák számára.
További részletek a changelogban olvashatók.
