流行的文件同步工具rsync出現多個高風險安全漏洞可被竊取資料甚至執行惡意程式碼
Unix 平台流行的文件同步工具rsync 日前被爆出多個安全漏洞，當然這些漏洞已經修復所以才會被披露，使用rsync 的用戶建議立即升級到3.4.0+ 版封堵漏洞。
借助這些漏洞攻擊者可以控制惡意伺服器並讀取、寫入任何已連接的客戶端的任意文件，包括但不限於用來提取敏感資料例如SSH 金鑰或透過覆蓋～/.bashrc 和～/.popt 等文件執行惡意程式碼。
涉及到的安全漏洞如下：
- CVE-2024-12084：CVSS 評分9.8 分，由於校驗和長度處理不當導致rsync 中的緩衝區堆疊溢出
- CVE-2024-12085：CVSS 評分7.5，透過未初始化的堆疊內容洩漏訊息
- CVE-2024-12086：CVSS 評分6.1，rsync 伺服器洩漏任意客戶端文件
- CVE-2024-12087：CVSS 評分6.5，rsync 中的路徑遍歷漏洞
- CVE-2024-12088：CVSS 評分6.5，–safe-links 選項繞過導致路徑遍歷
- CVE-2024-12747：CVSS 評分5.6，處理符號連結時rsync 中的競爭條件
以上6 個安全漏洞中的前5 個都是由Google雲端漏洞研究團隊發現的，第6 個漏洞則是由安全研究人員Aleksei Gorban 發現的，目前這些漏洞都已經在rsync 3.4.0 版中修復。
紅帽產品安全部門表示：在最嚴重的漏洞中攻擊者只需要對rsync 伺服器例如公共鏡像鏡像匿名讀取存取即可在運行該伺服器的機器上執行任意程式碼，這種情況對大量使用rsync 的鏡像網站來說也構成了極大的威脅。
而使用CVE-2024-12084 和12085 則可以在執行rsync 伺服器的用戶端上實現任意程式碼，考慮到這些漏洞的危害性，紅帽建議使用rsync 的用戶盡快升級。
下載網址：https://github.com/RsyncProject/rsync/releases
如果暫時無法升級到最新版修復漏洞，則可以透過以下方式進行緩解：
1. 針對CVE-2024-12084 漏洞：透過使用CFLAGS=-DDISABLE_SHA512_DIGEST 和CFLAGS=-DDISABLE_SHA256_DIGEST 進行編譯禁用SHA* 支持
2. 針對CVE-2024-12085 漏洞：使用-ftrivial-auto-var-init=zero 進行編譯以將堆疊內容清除