W usłudze popularnego narzędzia do synchronizacji plików Rsync ujawniono 6 podatności, w tym krytyczną. Zostały one wykryte i zgłoszone przez badaczy m.in. z Google Cloud Vulnerability Reaserch. Kombinacja tych podatności może prowadzić do wykonania dowolnego fragmentu kodu na maszynie klienckiej. Podatność pojawiła się w wersji 3.2.7.

CERT Coordination Center (CERT/CC) wskazuje, że „atakujący może przejąć kontrolę nad podatnym serwerem i odczytać/zapisać dowolny plik z podłączonych klientów”. „Wrażliwe dane, takie jak klucze SSH, mogą zostać pozyskane, a złośliwy kod może zostać wykonany poprzez nadpisanie takich plików jak ~/.bashrc czy ~/.popt” – czytamy w biuletynie.

Mowa o następujących podatnościach:

  1. CVE-2024-12084 (CVSS: 9.8) – przepełnienie kopca w Rsync w wyniku nieprawidłowej obsługi długości sum kontrolnych;
  2. CVE-2024-12085 (CVSS: 7.5) – wyciek informacji poprzez niezainicjalizowaną zawartość stosu;
  3. CVE-2024-12086 (CVSS: 6.1) – wyciek plików klientów
  4. CVE-2024-12087 (CVSS: 6.5) – path traversal w Rsync
  5. CVE-2024-12088 (CVSS: 6.5) – pominięcie opcji –safe-links prowadzące do path traversal
  6. CVE-2024-12747 (CVSS: 5.6) – race condition w Rsync podczas obsługi powiązań symbolicznych

CERT/CC wskazał, że podatnością dotknięte są Red Hat, Arch, Gentoo, Ubuntu, NixOS, AlmaLinux OS Foundation oraz Triton Data Center, lista ta może być dłuższa. Przeszukanie Shodana wskazuje na ponad 660 tysięcy adresów IP, na których znajduje się dostępny serwer Rsync.

Zaleca się, by wszyscy użytkownicy Rsync zaktualizowali oprogramowanie do wersji 3.4.0 lub wymusili użycie poświadczeń w dostępie do usługi. Do momentu aktualizacji, skuteczne powinno być zablokowanie portu TCP 873.

Źródła:

  1. https://www.bleepingcomputer.com/news/security/over-660-000-rsync-servers-exposed-to-code-execution-attacks/
  2. https://thehackernews.com/2025/01/google-cloud-researchers-uncover-flaws.html
  3. https://ubuntu.com/blog/rsync-remote-code-execution
  4. https://www.cisecurity.org/advisory/multiple-vulnerabilities-in-rsync-could-allow-for-remote-code-execution_2025-007