Rsync: Version 3.4.0 schließt kritische Lücken
von caschy | 4 Kommentare
Rsync, ein Protokoll und Tool zur Dateisynchronisation, auf das viele Softwareprodukte setzen, wurde in der Version 3.4.0 veröffentlicht. Die neue Version behebt mehrere sicherheitskritische Schwachstellen und führt einige technische Verbesserungen ein. Die Entwickler haben die Protokollnummer auf 32 angehoben. Diese Änderung ermöglicht Systemadministratoren eine bessere Kontrolle darüber, ob ihre Server auf dem aktuellen Sicherheitsstand sind. Ein Forscherteam von Google Cloud Vulnerability Research hat insgesamt sechs Sicherheitslücken identifiziert. Diese Schwachstellen ermöglichten unter anderem einen Heap-Pufferüberlauf bei der Prüfsummenverarbeitung und das Umgehen von Speicherschutzmechanismen durch nicht initialisierten Stack-Inhalt.
Neben den Sicherheitskorrekturen enthält das Update technische Verbesserungen. Die Entwickler haben einen Speicherfehler in der integrierten Popt-Bibliothek behoben, der bei neueren GCC-Versionen auftrat. Auf macOS wurde ein Problem mit der ACL-Verarbeitung korrigiert. Die IPv6-Konfigurationsprüfung wurde überarbeitet. Aufgrund der sicherheitskritischen Korrekturen empfiehlt sich eine zeitnahe Aktualisierung auf die neue Version. Detaillierte Informationen zu den Schwachstellen sind im CERT-Bericht unter der Kennung VU#952657 dokumentiert.
| # | Vorschau | Produkt | Preis | |
|---|---|---|---|---|
| 1 |
|
Synology DS223J 2 Bay Desktop NAS, weiß |
192,00 EUR |
Bei Amazon ansehen |
| 2 |
|
Synology Diskstation DS124 NAS System |
149,90 EUR |
Bei Amazon ansehen |
| 3 |
|
Synology DS223j 2-Bay Diskstation NAS (Realtek RTD1619B 4-Core 1.7 GHz 1GB DDR4 Ram 1xRJ-45 1GbE... | 437,00 EUR | Bei Amazon ansehen |
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Entwarnung. Anders als es hier hoch gekocht wird, betreffen 3 von 5 CVEs den rsync Daemon. 2 von den 5 den Client und hier „nur“ die Option, wenn man mit Symlinks arbeitet, wobei unter bestimmten Umständen eine Privilege Escalation entstehen kann.
Unterm Strich: Wer den rsync Daemon nicht einsetzt, wie zum Beispiel wir in unserem mittelgroßen Firmennetzwerk mit ca 200 Servern, der ist praktisch keinem Risiko ausgesetzt.
Natürlich sind Updates wichtig. Mir geht es jedoch darum, diesem unreflektiertem Hoch-Gebausche mal etwas entgegenzuwirken. Quelle: Einfach dem Link im Artikel folgen und die 5 CVEs anschauen.
Geht mir immer so mit Lücken wo du erst mal physischen Zugriff auf das Gerät haben musst. Wenn einer es in meine Wohnung schafft hab ich echt andere Probleme. So was würde eher frei zugängliche Geräte betreffen.
Viele Angriffe in den letzten Jahren baiserte auf raffinierte Verkettungen von verschiedenen Sicherheitslücken. Daher setzt man vernünftigerweise darauf, alle Lücken zu stopfen.
Ich finde eure Schnelldiagnose sehr mutig. Die WAnrung lautet nicht umsonst:
„When combined, the first two vulnerabilities (heap buffer overflow and information leak) allow a client to execute arbitrary code on a device that has an Rsync server running. The client requires only anonymous read-access to the server“
Erstaunlich, dass ihr aus den dürren Zeilen der CVE Beschreibung euch schon sicher seid, dass bei euch alles im grünen Bereich ist. Und woher NanoPolymer etwas von „physichem Zugriff“ heraus gelesen haben will, erschließt sich mir auch nicht.
*facepalm* – Weia, so viele Tipp- und Rechtschreibfehler… Reminder: Nicht mehr in müdem Zustand Posts tippen.