rsyncの脆弱性(CVE-2024-12084、CVE-2024-12085、CVE-2024-12086、CVE-2024-12087、CVE-2024-12088、CVE-2024-12747)対応まとめ

CVE-2024-12084

  • 脆弱性の概要: rsyncデーモンにおけるヒープバッファオーバーフローの脆弱性。攻撃者が制御可能なチェックサム長(s2length)を悪用し、バッファ境界外への書き込みが可能となる
  • 参考URL: https://nvd.nist.gov/vuln/detail/CVE-2024-12747

CVE-2024-12085

  • 脆弱性の概要: rsyncがファイルのチェックサムを比較する際、未初期化のスタックデータが漏洩する可能性がある
  • 参考URL: https://nvd.nist.gov/vuln/detail/CVE-2024-12085

CVE-2024-12086

  • 脆弱性の概要: rsyncサーバーがクライアントの任意のファイル内容を取得できる可能性がある
  • 参考URL: https://nvd.nist.gov/vuln/detail/CVE-2024-12086

CVE-2024-12087

  • 脆弱性の概要: --inc-recursiveオプションを使用した際、意図しないディレクトリ外へのファイル書き込みが可能となるパストラバーサル脆弱性
  • 参考URL: https://nvd.nist.gov/vuln/detail/CVE-2024-12087

CVE-2024-12088

  • 脆弱性の概要: --safe-linksオプション使用時、シンボリックリンクの検証が不十分で、任意のファイル書き込みが可能となる
  • 参考URL: https://nvd.nist.gov/vuln/detail/CVE-2024-12088

CVE-2024-12747

  • 脆弱性の概要: シンボリックリンク処理中の競合状態により、特権昇格や情報漏洩が発生する可能性がある
  • 参考URL: https://nvd.nist.gov/vuln/detail/CVE-2024-12747

影響を受けるバージョン

  • rsync 3.3.0以下

修正バージョン

  • rsync 3.4.0

対策

  • 最新バージョンへのアップデート

アップデート手順

  1. 現在のバージョン確認:
    ターミナルで以下のコマンドを実行して、現在のrsyncバージョンを確認する。
   rsync --version
  1. パッケージマネージャを使用してアップデート:
    Debian系 (Ubuntuなど):
   sudo apt update
   sudo apt install rsync

Red Hat系 (CentOSなど):

   sudo yum update rsync
  1. アップデート後の確認:
    再度以下のコマンドを実行して、バージョンが更新されていることを確認する。
   rsync --version

SecirityCVE