Unix sistemleri için popüler Rsync dosya senkronizasyon aracında altı kadar güvenlik açığı ortaya çıkarıldı; bunlardan bazıları bir istemcide rastgele kod çalıştırmak için kullanılabilir.
CERT Koordinasyon Merkezi (CERT/CC) bir danışma belgesinde “Saldırganlar kötü amaçlı bir sunucunun kontrolünü ele geçirebilir ve bağlı herhangi bir istemcinin rastgele dosyalarını okuyabilir/yazabilir.” dedi. “SSH anahtarları gibi hassas veriler çıkarılabilir ve ~/.bashrc veya ~/.popt gibi dosyaların üzerine yazılarak kötü amaçlı kod çalıştırılabilir.”
Yığın arabelleği taşması, bilgilerin açığa çıkması, dosya sızıntısı, harici dizin dosyası yazma ve sembolik bağlantı yarış durumunu içeren eksiklikler aşağıda listelenmiştir:
- CVE-2024-12084 (CVSS puanı: 9,8) – Doğru olmayan sağlama toplamı uzunluğu kullanımı nedeniyle Rsync’te yığın arabellek taşması
- CVE-2024-12085 (CVSS puanı: 7,5) – Başlatılmamış yığın içerikleri yoluyla bilgi sızıntısı
- CVE-2024-12086 (CVSS puanı: 6.1) – Rsync sunucusu rastgele istemci dosyalarını sızdırıyor
- CVE-2024-12087 (CVSS puanı: 6,5) – Rsync’te yol geçiş güvenlik açığı
- CVE-2024-12088 (CVSS puanı: 6,5) – –safe-links seçeneğinin atlanması yol geçişine yol açar
- CVE-2024-12747 (CVSS puanı: 5.6) – Sembolik bağlantıları işlerken Rsync’te yarış durumu
Google Cloud Güvenlik Açığı Araştırması’ndan Simon Scannell, Pedro Gallegos ve Jasiel Spelman, ilk beş kusuru keşfetme ve bildirme konusunda itibar kazandı. Güvenlik araştırmacısı Aleksei Gorban, sembolik bağlantı yarış koşulu kusurundan dolayı kabul edildi.
Red Hat Product Security’den Nick Tait, “En şiddetli CVE’de, bir saldırganın, sunucunun üzerinde çalıştığı makinede rastgele kod yürütmek için yalnızca genel ayna gibi bir Rsync sunucusuna anonim okuma erişimine ihtiyacı vardır” dedi.
CERT/CC ayrıca bir saldırganın, çalışan bir Rsync sunucusuna sahip bir istemcide rastgele kod yürütmek için CVE-2024-12084 ve CVE-2024-12085’i birleştirebileceğini de belirtti.
Güvenlik açıklarına yönelik yamalar, bugün erken saatlerde kullanıma sunulan Rsync 3.4.0 sürümünde yayımlandı. Güncelleştirmeyi uygulayamayan kullanıcılar için aşağıdaki azaltıcı önlemler önerilir:
- CVE-2024-12084 – CFLAGS=-DDISABLE_SHA512_DIGEST ve CFLAGS=-DDISABLE_SHA256_DIGEST ile derleyerek SHA* desteğini devre dışı bırakın
- CVE-2024-12085 – Yığın içeriğini sıfırlamak için -ftrivial-auto-var-init=zero ile derleyin