CVE-2026-53794
ŚrednieCVSS 5.3Streszczenie
rsync przed wersją 3.5.0 zawiera błąd logiczny w obsłudze --max-alloc, który umożliwia nadawcy lub ustawieniu konfiguracji --max-alloc=0 całkowite wyłączenie kontroli poprawności alokacji zamiast egzekwowania limitu zerowego. Atakujący mogą wykorzystać tę wadę, aby spowodować, że odbiorca podejmie nieograniczone alokacje pamięci dla list plików i struktur danych, potencjalnie wyczerpując dostępną pamięć i powodując odmowę usługi.
Ocena ryzyka
Może dojść do wyczerpania pamięci i odmowy usługi, co może zakłócić działanie systemów korzystających z rsync.
Rekomendacja
Zaktualizuj rsync do wersji 3.5.0 lub nowszej, która zawiera poprawkę, oraz unikaj ustawiania --max-alloc=0 w konfiguracjach.
Oryginalny opis (angielski, źródło NVD)
rsync before 3.5.0 contains a logic error in --max-alloc handling that allows a sender or configuration setting --max-alloc=0 to disable allocation sanity checks entirely rather than enforcing a zero-byte cap. Attackers can exploit this flaw to cause the receiver to attempt unbounded memory allocations for file list and data structures, potentially exhausting available memory and causing a denial of service.