Eine Gruppe von Google-Forschern und Aleksei Gorban haben gravierende Sicherheitslücken im Dateisynchronisationswerkzeug Rsync entdeckt. Die ab sofort erhältliche Version 3.4.0 stopft alle Löcher und behebt nebenbei noch ein paar weitere Fehler.

Anwender sollten daher möglichst schnell auf das aktuelle Rsync umsteigen. Damit Administratoren leichter feststellen können, ob bei ihnen noch eine verwundbare Version läuft, hat das Rsync-Team die Protokollnummer auf die 32 geändert.

Insgesamt sechs Sicherheitslücken haben Simon Scannell, Pedro Gallegos, Jasiel Spelman und Aleksei Gorban entdeckt. Die ersten fünf tragen die CVE-Nummern CVE-2024-12084 bis CVE-2024-12088. Für technisch Interessierte im Schnelldurchgang: Unter bestimmten Umständen erzeugt Rsync einen Pufferüberlauf auf dem Heap, Angreifer können in den Vergleich von Prüfsummen eingreifen, der Rsync-Server verrät Dateiinhalte auf der Client-Seite, Dateien lassen sich mithilfe von symbolischen Links außerhalb des Zielverzeichnisses ablegen und die Option „–safe-links“ funktioniert in einigen Fällen nicht korrekt. Bei der sechsten Sicherheitslücke stolpert Rsync ebenfalls über symbolische Links, was schließlich zu einer Race Condition führt. Diese Lücke ist unter der Kennung CVE-2024-12747 archiviert. Sämtliche Sicherheitslücken beschreibt ausführlich eine eigene Internetseite.

Rsync 3.4.0 schließt alle genannten Lücken sowie einige weitere Fehler. Unter Linux funktioniert beispielsweise die Prüfung der IPv6-Konfiguration wieder korrekt. Die von Rsync verwendete Popt-Bibliothek kommt in der Version 1.19 zum Einsatz, die gleichzeitig nicht mehr einen Speicherfehler beim Einsatz einer aktuellen GCC-Version provoziert.