流行的文件同步工具rsync出现多个高危安全漏洞可被窃取数据甚至执行恶意代码-品论天涯网

Unix平台流行的文件同步工具rsync日前被爆出多个安全漏洞，当然这些漏洞已经修复所以才会被披露，使用rsync的用户建议立即升级到3.4.0+版封堵漏洞。7TE品论天涯网

借助这些漏洞攻击者可以控制恶意服务器并读取、写入任何已连接的客户端的任意文件，包括但不限于用来提取敏感数据例如SSH密钥或通过覆盖～/.bashrc和～/.popt等文件执行恶意代码。7TE品论天涯网

7TE品论天涯网

涉及到的安全漏洞如下：7TE品论天涯网

CVE-2024-12084：CVSS评分9.8分，由于校验和长度处理不当导致rsync中的缓冲区堆栈溢出7TE品论天涯网

CVE-2024-12085：CVSS评分7.5，通过未初始化的堆栈内容泄露信息7TE品论天涯网

CVE-2024-12086：CVSS评分6.1，rsync服务器泄露任意客户端文件7TE品论天涯网

CVE-2024-12087：CVSS评分6.5，rsync中的路径遍历漏洞7TE品论天涯网

CVE-2024-12088：CVSS评分6.5，–safe-links选项绕过导致路径遍历7TE品论天涯网

CVE-2024-12747：CVSS评分5.6，处理符号链接时rsync中的竞争条件7TE品论天涯网

以上6个安全漏洞中的前5个都是由谷歌云漏洞研究团队发现的，第6个漏洞则是由安全研究人员AlekseiGorban发现的，目前这些漏洞都已经在rsync3.4.0版中修复。7TE品论天涯网

红帽产品安全部门称：在最严重的漏洞中攻击者只需要对rsync服务器例如公共镜像镜像匿名读取访问即可在运行该服务器的机器上执行任意代码，这种情况对大量使用rsync的镜像网站来说也构成了极大的威胁。7TE品论天涯网

而使用CVE-2024-12084和12085则可以在运行rsync服务器的客户端上实现任意代码，考虑到这些漏洞的危害性，红帽建议使用rsync的用户尽快升级。7TE品论天涯网

下载地址：https://github.com/RsyncProject/rsync/releases7TE品论天涯网

如果暂时无法升级到最新版修复漏洞，则可以通过以下方式进行缓解：7TE品论天涯网

1.针对CVE-2024-12084漏洞：通过使用CFLAGS=-DDISABLE_SHA512_DIGEST和CFLAGS=-DDISABLE_SHA256_DIGEST进行编译禁用SHA*支持7TE品论天涯网

2.针对CVE-2024-12085漏洞：使用-ftrivial-auto-var-init=zero进行编译以将堆栈内容清零7TE品论天涯网

流行的文件同步工具rsync出现多个高危安全漏洞可被窃取数据甚至执行恶意代码