CVE-2024-12088
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
W rsync wykryto usterkę polegającą na nieprawidłowym sprawdzaniu przez klienta, czy cel dowiązania symbolicznego wysłanego z serwera nie zawiera innego dowiązania symbolicznego. Używając opcji `--safe-links`, może to prowadzić do podatności na przechodzenie poza katalog, umożliwiając zapis pliku poza zamierzonym katalogiem.
Ocena ryzyka
Organizacja narażona jest na ryzyko zapisu dowolnych plików poza docelowym katalogiem, co może prowadzić do naruszenia integralności danych lub nieautoryzowanego dostępu do wrażliwych zasobów.
Rekomendacja
Zaleca się natychmiastową aktualizację rsync do najnowszej wersji zawierającej poprawkę oraz unikanie używania opcji `--safe-links` w środowiskach, gdzie serwer może być nieufny.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in rsync. When using the `--safe-links` option, the rsync client fails to properly verify if a symbolic link destination sent from the server contains another symbolic link within it. This results in a path traversal vulnerability, which may lead to arbitrary file write outside the desired directory.