Выпуск Rsync 3.1.2 c устранением уязвимости
Доступен релиз Rsync 3.1.2, популярной утилиты для синхронизации файлов и резервного копирования, позволяющей минимизировать трафик за счёт инкрементального копирования изменений. В качестве транспорта могут быть использованы ssh, rsh или собственный протокол rsync. Поддерживается организация работы анонимных rsync-серверов, оптимально подходящих для обеспечения синхронизации зеркал.
Новая версия полностью совместима на уровне протокола с выпуском 3.1.0 и помимо порции исправлений и улучшений включает устранение уязвимости. Уязвимость проявляется при обращении к подконтрольному злоумышленникам серверу и может привести к записи файлов за пределами целевой директории. В новом выпуске также добавлены дополнительные проверки, не допускающие изменения файловых путей и сетевых запросов на передачу данных, и устранена проблема с расчётом контрольных сумм, позволяющая сформировать блоки с совпадающей контрольной суммой, но другим содержимым.
Из не связанных с безопасностью изменений можно отметить добавление информации »(DRY RUN)» в вывод »--debug=exit», задействование при возможности функции usleep (), добавление в скрипт rrsync параметра »-wo» (write-only) и ряда дополнительных опций, необходимых для BackupPC, предоставление возможности включения на этапе сборки поддержки xattrs на NetBSD.
© OpenNet
