CVE-2017-17434
KrytyczneStreszczenie
Demon w rsync w wersjach 3.1.2 oraz 3.1.3-development przed 2017-12-03 nie sprawdza nazw plików w strukturze danych daemon_filter_list oraz nie stosuje mechanizmu ochrony sanitize_paths do ścieżek w ciągach 'xname follows'. To pozwala zdalnym atakującym na obejście zamierzonych ograniczeń dostępu.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do danych, co może prowadzić do wycieku informacji lub modyfikacji plików.
Rekomendacja
Zaleca się aktualizację rsync do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów zabezpieczeń w celu ochrony przed nieautoryzowanym dostępem.
Oryginalny opis (angielski, źródło NVD)
The daemon in rsync 3.1.2, and 3.1.3-development before 2017-12-03, does not check for fnamecmp filenames in the daemon_filter_list data structure (in the recv_files function in receiver.c) and also does not apply the sanitize_paths protection mechanism to pathnames found in "xname follows" strings (in the read_ndx_and_attrs function in rsync.c), which allows remote attackers to bypass intended access restrictions.