CVE-2024-12086
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 75 - wyżej niż 75% wszystkich znanych CVE
Streszczenie
W rsync odkryto usterkę umożliwiającą serwerowi odczytanie zawartości dowolnego pliku z komputera klienta. Problem występuje podczas kopiowania plików z klienta na serwer, gdy serwer wysyła sumy kontrolne lokalnych danych do porównania. Atakujący może wysłać specjalnie spreparowane wartości sum kontrolnych i na podstawie odpowiedzi klienta zrekonstruować dane bajt po bajcie.
Ocena ryzyka
Ryzyko polega na wycieku poufnych danych z komputera klienta, takich jak hasła, klucze prywatne czy dokumenty, bez wiedzy użytkownika. Atakujący serwer rsync może w ten sposób przeprowadzić atak typu directory traversal i odczytać dowolne pliki.
Rekomendacja
Należy niezwłocznie zaktualizować rsync do wersji, w której usunięto tę podatność. Do czasu aktualizacji zaleca się ograniczenie zaufania do serwerów rsync oraz stosowanie dodatkowych mechanizmów uwierzytelniania i szyfrowania (np. SSH).
Oryginalny opis (angielski, źródło NVD)
A flaw was found in rsync. It could allow a server to enumerate the contents of an arbitrary file from the client's machine. This issue occurs when files are being copied from a client to a server. During this process, the rsync server will send checksums of local data to the client to compare with in order to determine what data needs to be sent to the server. By sending specially constructed checksum values for arbitrary files, an attacker may be able to reconstruct the data of those files byte-by-byte based on the responses from the client.