CVE-2026-53790
WysokieCVSS 8.1Streszczenie
Rsync przed wersją 3.5.0 zawiera wiele podatności związanych z wstrzykiwaniem poleceń i argumentów, które pozwalają atakującym na wykonanie dowolnych poleceń poprzez dostarczenie złośliwych danych wejściowych przez kilka ścieżek kodu, w tym zmienną środowiskową RSYNC_CONNECT_PROG, haki demona, wrapper rsync-ssl oraz wstrzykiwanie znaków nowej linii do poleceń zdalnej powłoki. Atakujący mogą wstrzykiwać metaznaki powłoki lub znaki nowej linii do nieoczyszczonych wartości dostarczanych przez użytkownika, takich jak nazwy hostów i specyfikacje hostów, aby wykonać dowolne polecenia z uprawnieniami procesu rsync lub wywołującego użytkownika.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania dowolnych poleceń, co może prowadzić do pełnego przejęcia systemu lub naruszenia poufności danych.
Rekomendacja
Zaleca się aktualizację rsync do wersji 3.5.0 lub nowszej oraz dokładne sanityzowanie wszystkich danych wejściowych używanych w poleceniach powłoki.
Oryginalny opis (angielski, źródło NVD)
rsync before 3.5.0 contains multiple command and argument injection vulnerabilities that allow attackers to execute arbitrary commands by supplying malicious input through several code paths, including the RSYNC_CONNECT_PROG environment variable, daemon hooks, the rsync-ssl wrapper, and remote-shell command newline injection. Attackers can inject shell metacharacters or newline characters into unsanitized user-supplied values such as hostnames and hostspecs to execute arbitrary commands under the privileges of the rsync process or the invoking user.