CVE-2026-70454
WysokieCVSS 8.0Streszczenie
rsync w wersjach od 3.2.0 do 3.2.3 (tryb openssl) oraz rsync-ssl do 3.4.4 (tryb stunnel) zawierają podatność na walidację certyfikatów TLS, która pozwala atakującym w środku (on-path) przechwycić szyfrowane sesje, prezentując samopodpisane lub w inny sposób nieprawidłowe certyfikaty. Atakujący mogą wykorzystać brak walidacji certyfikatów serwera TLS względem zaufanego CA lub brak weryfikacji dopasowania nazwy hosta certyfikatu, aby odszyfrować lub manipulować zawartością sesji rsync bez wykrycia przez klienta.
Ocena ryzyka
Podatność umożliwia przechwycenie i manipulację szyfrowanym ruchem, co może prowadzić do naruszenia poufności i integralności przesyłanych danych.
Rekomendacja
Zaktualizuj rsync do wersji 3.5.0 lub nowszej oraz rsync-ssl do wersji zawierającej poprawkę.
Oryginalny opis (angielski, źródło NVD)
rsync 3.2.0 through 3.2.3 (openssl mode) and rsync-ssl through 3.4.4 (stunnel mode) contain a TLS certificate validation vulnerability that allows on-path attackers to intercept encrypted sessions by presenting self-signed or otherwise invalid certificates. Attackers can exploit the failure to validate server TLS certificates against a trusted CA or verify certificate hostname matching to decrypt or tamper with rsync session content without detection by the client.