CVE-2026-70453
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Rsync przed wersją 3.5.0 zawiera podatność na złożoność algorytmiczną w funkcji hash_search(), która pozwala zdalnemu atakującemu spowodować odmowę usługi poprzez dostarczenie specjalnie skonstruowanej listy plików. Nadawca może wykorzystać najgorszy przypadek kwadratowej złożoności w wyszukiwaniu hashy, aby wyczerpać zasoby procesora odbiorcy przy użyciu niewielkiej liczby spreparowanych wpisów, powodując trwałą odmowę usługi.
Ocena ryzyka
Atakujący może zdalnie przeciążyć serwer rsync, powodując niedostępność usługi dla uprawnionych użytkowników. Może to prowadzić do przerw w działaniu krytycznych procesów synchronizacji danych.
Rekomendacja
Zaleca się natychmiastową aktualizację rsync do wersji 3.5.0 lub nowszej, która zawiera poprawkę. Jeśli aktualizacja nie jest możliwa, ogranicz dostęp do usługi rsync tylko do zaufanych klientów.
Oryginalny opis (angielski, źródło NVD)
rsync before 3.5.0 contains an algorithmic complexity vulnerability in the hash_search() function that allows a remote attacker to cause a denial of service by delivering a carefully constructed file list. A sender can exploit the quadratic-time worst-case behavior in hash lookups to exhaust receiver CPU resources with a modest number of crafted entries, causing a sustained denial of service.