GLSA-202405-22：rsync：多个漏洞

high Nessus 插件 ID 195162

语言：

描述

远程主机受到 GLSA-202405-22 中所述漏洞的影响（rsync：多种漏洞）

- 如果输入具有许多远程匹配项，则 zlib 1.2.12 之前版本会在压缩时造成内存损坏。(CVE-2018-25032)

- 在 3.2.0pre1 以上版本的 rsync 中发现一个缺陷。Rsync 未正确验证带有主机不匹配漏洞的证书。未经身份验证的远程攻击者可以通过使用其他主机名的有效证书执行中间人攻击来利用此缺陷，这可能会破坏使用 rsync-ssl 传输的数据的机密性和完整性。此漏洞最主要的威胁对象是数据机密性和完整性。此缺陷影响 3.2.4 之前的 rsync 版本。(CVE-2020-14387)

- 在 3.2.5 之前的 rsync 中发现一个问题，该问题允许恶意远程服务器在连接的对等机目录内写入任意文件。服务器会选择将哪些文件/目录发送到客户端，但是，rsync 客户端未充分验证文件名。恶意 rsync 服务器（或中间人攻击者）可覆盖 rsync 客户端目标目录和子目录中的任意文件（例如覆盖 .ssh/authorized_keys 文件）。(CVE-2022-29154)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。