Kritische Sicherheitslücken in Rsync aufgetaucht
Am 14. Januar 2025 wurde bekannt, dass die Software Rsync, mit der Dateien zwischen Computern oder Speichern synchronisiert werden, sechs gravierende Sicherheitslücken hat. Alle Versionen bis einschließlich 3.3.0 sind betroffen. Rsync wird oft verwendet, um Daten effizient zu kopieren und zu sichern. Diese Fehler können dazu führen, dass Angreifer Programme manipulieren, geheime Daten auslesen oder Dateien an unerlaubte Orte schreiben. Zu den betroffenen Betriebssystemen gehören unter anderem AlmaLinux, Arch Linux, Gentoo Linux, NixOS, Red Hat und SUSE Linux.
CVE-2024-12084: Ein Fehler im Speicher (Heap-Buffer-Overflow) kann dazu führen, dass Daten überschrieben werden, wenn Checksummen manipuliert werden.
CVE-2024-12085: Ein anderer Fehler erlaubt es Angreifern, zufällige Daten aus dem Speicher auszulesen.
CVE-2024-12086: Ein bösartiger Server kann sensible Dateien eines Clients einsehen, wenn dieser Daten überträgt.
CVE-2024-12087: Ein Problem bei der Überprüfung von Pfaden (Path-Traversal) erlaubt es, Dateien außerhalb des gewünschten Ordners zu speichern.
CVE-2024-12088: Die Option –safe-links funktioniert nicht korrekt, was dazu führt, dass Angreifer Dateien an unsicheren Orten ablegen können.
CVE-2024-12747: Ein Fehler bei symbolischen Links kann genutzt werden, um an geschützte Dateien zu gelangen oder erweiterte Rechte zu erhalten.
Durch die Kombination von Fehlern können Angreifer Programme von einem entfernten Computer aus steuern. Beispielsweise könnten sie sensible Daten wie SSH-Schlüssel auslesen oder Dateien wie die Konfigurationsdatei ~/.bashrc manipulieren, um schädlichen Code auszuführen.
Die Updates können hier runtergeladen werden: