Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] rsync opravuje 6 zranitelností

rsync verzí 3.4.0 opravuje 6 zranitelností, přičemž některé zranitelnosti se týkají rsync serveru a některé klienta [1]. Následně byla vydána verze 3.4.1, která opravuje některé regrese z verze 3.4.0 [17]. Zranitelnost CVE-2024-12084 (RCE) nepostihuje instance s operačním systémem z rodiny Red Hat [2], u Debianu tato zranitelnost nepostihuje pouze vydání bullseye [3] a Ubuntu je zranitelné pouze ve vydáních noble a jammy [4]. Jednotlivá vydání OS a jejich opravené verze: Debian [3][5][6][7][8][9]: bookworm (security) - 3.2.7-1+deb12u2 sid, trixie - 3.3.0+ds1-4 Ubuntu [4][10][11][12][13][14] - noble - 3.2.7-1ubuntu1.1 jammy - 3.2.7-0ubuntu0.22.04.3 focal - 3.1.3-8ubuntu0.8 bionic - 3.1.2-2.1ubuntu1.6+esm1 xenial - 3.1.1-3ubuntu1.3+esm3 Gentoo - aktualizace dostupná pro běžně používané architektury [15] Red Hat [16]

rsync - buffer overflow (CVE-2024-12084)
CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je způsobením přetečení haldy potenciálně umožněno spouštět kód [1].

Zranitelnost se nachází v produktu:

  • rsync; > 3.2.7, < 3.4.0;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 14. 1. 2025.

rsync - data leak (CVE-2024-12085)
CVSS 7.5 (High)

Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně zobrazovat data z paměti [1].

Zranitelnost se nachází v produktu:

  • rsync; < 3.4.0;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 14. 1. 2025.

rsync - data leak (CVE-2024-12086)
CVSS 6.1 (Medium)

Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně zobrazovat soubory na disku rsync klienta [1].

Zranitelnost se nachází v produktu:

  • rsync; <3.4.0;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 14. 1. 2025.

rsync - path traversal (CVE-2024-12087, CVE-2024-12088)
CVSS 6.5 (Medium)

Neautentizovanému vzdálenému útočníkovi je za určitých okolností umožněno zapisovat soubory do libovolných umístění na disk rsync klienta [1].

Zranitelnost se nachází v produktu:

  • rsync; <3.4.0;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Více informací:

Zranitelnost byla veřejně oznámena 14. 1. 2025.

rsync - sensitive information leak (CVE-2024-12747)
CVSS 5.6 (Medium)

Autentizovanému lokálnímu útočníkovi je umožněno zobrazovat citlivé informace, což může potenciálně způsobit eskalaci oprávnění [1].

Zranitelnost se nachází v produktu:

  • rsync; <3.4.0;

CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 14. 1. 2025.

Za CESNET, z.s.p.o. Martin Krajči dne 17. 1. 2025.

CESNET, z.s.p.o. Logo