[TLP:CLEAR] Rsync opravuje 6 zraniteľností

Rsync verziou 3.4.0 opravuje 6 zraniteľností, pričom niektoré zraniteľnosti sa týkajú rsync serveru a niektoré klienta [1]. Následne bola vydaná verzia 3.4.1, ktorá opravuje niektoré regresie z verzie 3.4.0 [17]. Zraniteľnosť CVE-2024-12084 (RCE) nepostihuje inštancie s operačným systémom z rodiny Red Hat [2], u Debianu táto zraniteľnost nepostihuje iba vydanie bullseye [3] a Ubuntu je zraniteľné iba vo vydaniach noble a jammy [4]. Jednotlivé vydania OS a ich opravené verzie: Debian [3][5][6][7][8][9]: bookworm (security) - 3.2.7-1+deb12u2 sid, trixie - 3.3.0+ds1-4 Ubuntu [4][10][11][12][13][14] - noble - 3.2.7-1ubuntu1.1 jammy - 3.2.7-0ubuntu0.22.04.3 focal - 3.1.3-8ubuntu0.8 bionic - 3.1.2-2.1ubuntu1.6+esm1 xenial - 3.1.1-3ubuntu1.3+esm3 Gentoo - aktualizácia dostupná pre bežne používané architektúry [15] Red Hat [16]

Rsync - buffer overflow (CVE-2024-12084) CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je spôsobením pretečenia haldy potenciálne umožnené spúšťať kód [1].

Zraniteľnosť sa nachádza v produkte rsync vo verziách >3.2.7 AND <3.4.0.

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 1. 2025.

Rsync - data leak (CVE-2024-12085) CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene zobrazovať dáta z pamäte [1].

Zraniteľnosť sa nachádza v produkte rsync vo verziách <3.4.0.

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 1. 2025.

Rsync - data leak (CVE-2024-12086) CVSS 6.1 (Medium)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene zobrazovať súbory na disku rsync klienta [1].

Zraniteľnosť sa nachádza v produkte rsync vo verziách <3.4.0.

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 1. 2025.

Rsync - path traversal (CVE-2024-12087, CVE-2024-12088) CVSS 6.5 (Medium)

Neautentizovanému vzdialenému útočníkovi je za určitých okolností umožnené zapisovať súbory do ľubovolných lokácií na disk rsync klienta [1].

Zraniteľnosť sa nachádza v produkte rsync vo verziách <3.4.0.

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 1. 2025.

Rsync - sensitive information leak (CVE-2024-12747) CVSS 5.6 (Medium)

Autentizovanému lokálnemu útočníkovi je umožnené zobrazovať citlivé informácie, čo môže potenciálne spôsobiť eskaláciu privilégií [1].

Zraniteľnosť sa nachádza v produkte rsync vo verziách <3.4.0.

CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 1. 2025.

Za CESNET-CERTS Martin Krajči dňa 20. 1. 2025.

CESNET CERTS Logo