Unix 平臺流行的文件同步工具 rsync 日前被爆出多個安全漏洞，當(dāng)然這些漏洞已經(jīng)修復(fù)所以才會被披露，使用 rsync 的用戶建議立即升級到 3.4.0+ 版封堵漏洞。

借助這些漏洞攻擊者可以控制惡意服務(wù)器并讀取、寫入任何已連接的客戶端的任意文件，包括但不限于用來提取敏感數(shù)據(jù)例如 SSH 密鑰或通過覆蓋～/.bashrc 和～/.popt 等文件執(zhí)行惡意代碼。

涉及到的安全漏洞如下：

• CVE-2024-12084：CVSS 評分 9.8 分，由于校驗和長度處理不當(dāng)導(dǎo)致 rsync 中的緩沖區(qū)堆棧溢出

• CVE-2024-12085：CVSS 評分 7.5，通過未初始化的堆棧內(nèi)容泄露信息

• CVE-2024-12086：CVSS 評分 6.1，rsync 服務(wù)器泄露任意客戶端文件

• CVE-2024-12087：CVSS 評分 6.5，rsync 中的路徑遍歷漏洞

• CVE-2024-12088：CVSS 評分 6.5，–safe-links 選項繞過導(dǎo)致路徑遍歷

• CVE-2024-12747：CVSS 評分 5.6，處理符號鏈接時 rsync 中的競爭條件

以上 6 個安全漏洞中的前 5 個都是由谷歌云漏洞研究團(tuán)隊發(fā)現(xiàn)的，第 6 個漏洞則是由安全研究人員 Aleksei Gorban 發(fā)現(xiàn)的，目前這些漏洞都已經(jīng)在 rsync 3.4.0 版中修復(fù)。

紅帽產(chǎn)品安全部門稱：在最嚴(yán)重的漏洞中攻擊者只需要對 rsync 服務(wù)器例如公共鏡像鏡像匿名讀取訪問即可在運行該服務(wù)器的機(jī)器上執(zhí)行任意代碼，這種情況對大量使用 rsync 的鏡像網(wǎng)站來說也構(gòu)成了極大的威脅。

而使用 CVE-2024-12084 和 12085 則可以在運行 rsync 服務(wù)器的客戶端上實現(xiàn)任意代碼，考慮到這些漏洞的危害性，紅帽建議使用 rsync 的用戶盡快升級。

下載地址：https://github.com/RsyncProject/rsync/releases

如果暫時無法升級到最新版修復(fù)漏洞，則可以通過以下方式進(jìn)行緩解：

1. 針對 CVE-2024-12084 漏洞：通過使用 CFLAGS=-DDISABLE_SHA512_DIGEST 和 CFLAGS=-DDISABLE_SHA256_DIGEST 進(jìn)行編譯禁用 SHA* 支持

2. 針對 CVE-2024-12085 漏洞：使用 -ftrivial-auto-var-init=zero 進(jìn)行編譯以將堆棧內(nèi)容清零

[超站]友情鏈接：

四季很好，只要有你，文娛排行榜：https://www.yaopaiming.com/
關(guān)注數(shù)據(jù)與安全，洞悉企業(yè)級服務(wù)市場：https://www.ijiandao.com/