独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は1月15日、rsyncにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。


rsync バージョン 3.3.0 およびそれ以前

　rsyncには、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・ヒープベースのバッファオーバーフロー（CVE-2024-12084）
→システム上で任意のコードが実行されたり、rsyncサービスを停止されたりする

・メモリバッファエラー（CVE-2024-12085）
→システム上のメモリ情報が漏えいする

・エラー処理の不備（CVE-2024-12086）
→ rsyncを用いて悪意のあるサーバにアクセスした際、システム上のファイル情報が不正に取得される

・パストラバーサル（CVE-2024-12087）
→--inc-recursive オプションが有効となっている際に、目的のディレクトリ外のパスに任意のファイルを書き込まれる

・パストラバーサル（CVE-2024-12088）
→--safe-links オプションによる保護を回避され、目的のディレクトリ外のパスに任意のファイルを書き込まれる

・シンボリックリンク処理時の競合状態（CVE-2024-12747）
→権限を昇格された状態で目的のディレクトリ外のパスにアクセスされる

　JVNでは、開発者が提供する情報をもとに最新バージョンにアップデートするよう呼びかけている。なお、一連の脆弱性を修正したバージョン3.4.0がリリースされている。

元の記事を読む

編集部おすすめ