CVE-2026-70455
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
rsync w wersjach od 3.4.2 do przed 3.5.0 zawiera podatność na odmowę usługi, która pozwala zdalnemu nadawcy wyczerpać zasoby systemowe, podając krótki alias --zt dla --compress-threads, co omija dopasowywanie ciągów w dyrektywie refuse options dla długich nazw opcji. Atakujący mogą podać --zt=N z dużą wartością, aby utworzyć nieograniczoną liczbę wątków roboczych Zstandard na odbiorcy, wyczerpując dostępne zasoby wątków i pamięci.
Ocena ryzyka
Podatność umożliwia zdalną odmowę usługi, co może prowadzić do wyczerpania zasobów systemowych i wpłynąć na dostępność usług.
Rekomendacja
Zaktualizuj rsync do wersji 3.5.0 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
rsync 3.4.2 before 3.5.0 contains a denial of service vulnerability that allows a remote sender to exhaust system resources by specifying the --zt short alias for --compress-threads, which bypasses the refuse options directive's string matching on long option names. Attackers can specify --zt=N with a large value to spawn an unbounded number of Zstandard worker threads on the receiver, exhausting available thread and memory resources.