CVE-2026-43618
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
Rsync w wersji 3.4.2 i wcześniejszych zawiera podatność przepełnienia liczby całkowitej w dekoderze skompresowanych tokenów, gdzie 32-bitowy licznik ze znakiem nie jest sprawdzany pod kątem przepełnienia. Złośliwy nadawca może wywołać przepełnienie, powodując odczyt i zwrócenie danych spoza zamierzonego bufora przez proces odbiorcy. Atakujący mogą ujawnić zawartość pamięci procesu, w tym zmienne środowiskowe, hasła, dane sterty i stosu oraz wskaźniki bibliotek, co znacząco obniża skuteczność ASLR.
Ocena ryzyka
Ryzyko dla organizacji jest wysokie, ponieważ wyciek pamięci może ujawnić wrażliwe dane i ułatwić dalsze ataki, w tym zdalne wykonanie kodu.
Rekomendacja
Zaleca się aktualizację Rsync do wersji 3.4.3 lub nowszej, która zawiera poprawkę zapobiegającą przepełnieniu licznika.
Inne podatności w Rsync
Zobacz wszystkie- CVE-2026-70462Średnie
rsync w wersjach od 3.1.0 do przed 3.5.0 zawiera podatność na przepełnienie liczby całkowitej ze znakiem w implementacji limitu czasu I/O. Atakujący może wysłać wiadomości MSG_IO_TIMEOUT z wartościami niedodatnimi, co powoduje zawinięcie zmiennej limitu czasu i trwałe wyłączenie limitów czasu połączeń, umożliwiając utrzymywanie bezczynnych połączeń i wyczerpanie zasobów.
- CVE-2026-70458Wysokie
rsync w wersjach od 3.0.0 do przed 3.5.0 zawiera podatność na zapis poza granicami (out-of-bounds write), która pozwala atakującym uszkodzić pamięć, wyzwalając przetwarzanie HLINK_BUMP na wpisach plików z ustawioną flagą FLAG_HLINKED, gdy opcja zachowywania dowiązań twardych jest nieaktywna. Atakujący mogą wykorzystać brakujące pole F_SUM w strukturze file_struct, aby uzyskać dostęp do pamięci poza końcem przydzielonej struktury, uszkadzając sąsiednie dane na stercie lub stosie.
- CVE-2026-70454Wysokie
rsync w wersjach od 3.2.0 do 3.2.3 (tryb openssl) oraz rsync-ssl do 3.4.4 (tryb stunnel) zawierają podatność na walidację certyfikatów TLS, która pozwala atakującym w środku (on-path) przechwycić szyfrowane sesje, prezentując samopodpisane lub w inny sposób nieprawidłowe certyfikaty. Atakujący mogą wykorzystać brak walidacji certyfikatów serwera TLS względem zaufanego CA lub brak weryfikacji dopasowania nazwy hosta certyfikatu, aby odszyfrować lub manipulować zawartością sesji rsync bez wykrycia przez klienta.
- CVE-2026-53794Średnie
rsync przed wersją 3.5.0 zawiera błąd logiczny w obsłudze --max-alloc, który umożliwia nadawcy lub ustawieniu konfiguracji --max-alloc=0 całkowite wyłączenie kontroli poprawności alokacji zamiast egzekwowania limitu zerowego. Atakujący mogą wykorzystać tę wadę, aby spowodować, że odbiorca podejmie nieograniczone alokacje pamięci dla list plików i struktur danych, potencjalnie wyczerpując dostępną pamięć i powodując odmowę usługi.
- CVE-2026-53790Wysokie
Rsync przed wersją 3.5.0 zawiera wiele podatności związanych z wstrzykiwaniem poleceń i argumentów, które pozwalają atakującym na wykonanie dowolnych poleceń poprzez dostarczenie złośliwych danych wejściowych przez kilka ścieżek kodu, w tym zmienną środowiskową RSYNC_CONNECT_PROG, haki demona, wrapper rsync-ssl oraz wstrzykiwanie znaków nowej linii do poleceń zdalnej powłoki. Atakujący mogą wstrzykiwać metaznaki powłoki lub znaki nowej linii do nieoczyszczonych wartości dostarczanych przez użytkownika, takich jak nazwy hostów i specyfikacje hostów, aby wykonać dowolne polecenia z uprawnieniami procesu rsync lub wywołującego użytkownika.
- CVE-2026-53785Wysokie
Rsync przed wersją 3.5.0 zawiera podatność typu path traversal, która pozwala złośliwemu nadawcy na zapisywanie plików poza zamierzonym drzewem katalogów docelowych poprzez tworzenie względnych ścieżek z komponentami dowiązań symbolicznych w trybie --relative. Funkcja make_path() podąża za dowiązaniami symbolicznymi wskazującymi poza drzewo docelowe podczas tworzenia katalogów pośrednich, bez weryfikacji, czy utworzone ścieżki pozostają w granicach celu, umożliwiając dowolny zapis plików w systemie plików odbiorcy.
- CVE-2014-2855Wysokie
Funkcja check_secret w rsync 3.1.0 i wcześniejszych wersjach pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez użycie nazwy użytkownika, która nie istnieje w pliku z sekretami, co prowadzi do nieskończonej pętli i zużycia CPU.
- CVE-2026-53791Krytyczne
Demon rsync przed wersją 3.5.0 zawiera podatność na fałszowanie adresu IP, która pozwala nieuwierzytelnionym zdalnym atakującym ominąć kontrolę dostępu opartą na adresie IP poprzez wysłanie spreparowanego nagłówka PROXY protocol ze sfałszowanym adresem źródłowym. Atakujący, którzy mogą połączyć się bezpośrednio z demonem rsync, mogą wstrzyknąć sfałszowany źródłowy adres IP w nagłówku PROXY protocol, aby ominąć reguły hosts allow/deny, uzyskując nieautoryzowany dostęp, który w przeciwnym razie byłby zablokowany na podstawie ich rzeczywistego adresu źródłowego.
- CVE-2024-12084Krytyczne
W demonie rsync odkryto podatność przepełnienia bufora sterty spowodowaną nieprawidłowym obsługiwaniem długości sum kontrolnych (s2length) kontrolowanych przez atakującego. Gdy MAX_DIGEST_LEN przekracza stałą SUM_LENGTH (16 bajtów), atakujący może zapisać dane poza granicami bufora sum2.
- CVE-2024-12088Średnie
W rsync wykryto usterkę polegającą na nieprawidłowym sprawdzaniu przez klienta, czy cel dowiązania symbolicznego wysłanego z serwera nie zawiera innego dowiązania symbolicznego. Używając opcji `--safe-links`, może to prowadzić do podatności na przechodzenie poza katalog, umożliwiając zapis pliku poza zamierzonym katalogiem.
Oryginalny opis (angielski, źródło NVD)
Rsync version 3.4.2 and prior contain an integer overflow vulnerability in the compressed-token decoder where a 32-bit signed counter is not checked for overflow, allowing a malicious sender to trigger an overflow that causes the receiver process to read and return data from outside the intended buffer bounds. Attackers can exploit this vulnerability to disclose process memory contents including environment variables, passwords, heap and stack data, and library memory pointers, significantly reducing ASLR effectiveness and facilitating further exploitation.