CVE-2026-29518

Funkcja check_secret w rsync 3.1.0 i wcześniejszych wersjach pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez użycie nazwy użytkownika, która nie istnieje w pliku z sekretami, co prowadzi do nieskończonej pętli i zużycia CPU.

Demon rsync przed wersją 3.5.0 zawiera podatność na fałszowanie adresu IP, która pozwala nieuwierzytelnionym zdalnym atakującym ominąć kontrolę dostępu opartą na adresie IP poprzez wysłanie spreparowanego nagłówka PROXY protocol ze sfałszowanym adresem źródłowym. Atakujący, którzy mogą połączyć się bezpośrednio z demonem rsync, mogą wstrzyknąć sfałszowany źródłowy adres IP w nagłówku PROXY protocol, aby ominąć reguły hosts allow/deny, uzyskując nieautoryzowany dostęp, który w przeciwnym razie byłby zablokowany na podstawie ich rzeczywistego adresu źródłowego.

W demonie rsync odkryto podatność przepełnienia bufora sterty spowodowaną nieprawidłowym obsługiwaniem długości sum kontrolnych (s2length) kontrolowanych przez atakującego. Gdy MAX_DIGEST_LEN przekracza stałą SUM_LENGTH (16 bajtów), atakujący może zapisać dane poza granicami bufora sum2.

W rsync wykryto usterkę polegającą na nieprawidłowym sprawdzaniu przez klienta, czy cel dowiązania symbolicznego wysłanego z serwera nie zawiera innego dowiązania symbolicznego. Używając opcji `--safe-links`, może to prowadzić do podatności na przechodzenie poza katalog, umożliwiając zapis pliku poza zamierzonym katalogiem.

W rsync wykryto podatność umożliwiającą manipulację długością sumy kontrolnej (s2length) podczas porównywania sum plików. Atakujący może wykorzystać ten błąd do porównania sumy kontrolnej z niezainicjalizowaną pamięcią i wycieku jednego bajtu danych ze stosu.

Demon w rsync w wersjach 3.1.2 oraz 3.1.3-development przed 2017-12-03 nie sprawdza nazw plików w strukturze danych daemon_filter_list oraz nie stosuje mechanizmu ochrony sanitize_paths do ścieżek w ciągach 'xname follows'. To pozwala zdalnym atakującym na obejście zamierzonych ograniczeń dostępu.

Rsync w wersji 3.1.3-development przed 24 października 2017 roku niewłaściwie obsługuje archaiczne sumy kontrolne, co ułatwia zdalnym atakującym obejście zamierzonych ograniczeń dostępu.

rsync daemon w wersjach od 2.0.0 do przed 3.5.0 zawiera podatność na odmowę usługi, która pozwala nieuwierzytelnionym zdalnym atakującym wyczerpać sloty połączeń demona poprzez wstrzymanie procesu uzgadniania przed lub po wyborze modułu, bez wyzwalania limitu czasu I/O. Atakujący mogą otworzyć wiele równoczesnych połączeń i przesyłać dane w minimalnym tempie, aby uniknąć limitu czasu, lub całkowicie zatrzymać się przed wyborem modułu, gdzie limit czasu nie obowiązuje, konsumując wszystkie dostępne sloty połączeń i blokując dostęp legalnym klientom.

rsync w wersjach od 3.1.0 do przed 3.5.0 zawiera podatność na obejście autoryzacji w parsowaniu dyrektywy auth users. Parser auth users używa tylko przecinków do tokenizacji listy użytkowników, co niepoprawnie obsługuje wpisy w formie @Group Name, gdzie nazwa grupy zawiera spację. Spacja w nazwie grupy powoduje podział wpisu na granicy spacji, odrzucając regułę odmowy związaną z grupą. Uwierzytelniony użytkownik, którego nazwa użytkownika lub członkostwo w grupie byłoby odrzucone przez wpis @Group Name, może połączyć się z ograniczonym modułem, ponieważ reguła odmowy jest cicho odrzucana podczas parsowania.

rsync w wersjach od 3.1.0 do przed 3.5.0 zawiera podatność na przepełnienie liczby całkowitej ze znakiem w implementacji limitu czasu I/O. Atakujący może wysłać wiadomości MSG_IO_TIMEOUT z wartościami niedodatnimi, co powoduje zawinięcie zmiennej limitu czasu i trwałe wyłączenie limitów czasu połączeń, umożliwiając utrzymywanie bezczynnych połączeń i wyczerpanie zasobów.