librsync 1.0.0 中的变更 (2015-01-23) ======================================

- 安全：CVE-2014-8242：librsync 此前使用截断的 MD4“强”校验和来匹配区块。
 但是，MD4 并非为一种强大的加密方式。如果使用 librsync/rdiff 传输文件，则能够控制文件某一部分内容的攻击者可利用此缺陷控制文件的其他区域。例如，在包含某些攻击者控制的数据的数据库、邮箱或 VM 图像中都可能发生这种情况。为缓解这一问题，将默认使用 256 位 BLAKE2 哈希计算签名。当提供这些签名文件时，旧版本的 librsync 会报告错误幻数。可使用新的“rdiff sig --hash=md4”选项或通过指定 API 中的“签名幻数”获得向后的兼容性，但当新旧文件中包含不受信任的数据时不能使用第二种方法。从这些签名生成的增量还将在生成期间使用 BLAKE2，但产生的输出可供旧版本读取。请参阅 https://github.com/librsync/librsync/issues/5。感谢 Michael Samuel <miknet.net> 报告此问题并提供最初的修补程序。

- 多种版本补丁，感谢 Timothy Gu。

- 改进的 rdiff 手册页，由 Debian 提供。

- 改进的 librsync.spec 文件，用于构建 RPM。

- 修复了大型文件中的缺陷 #1110812，“内部错误：作业没有进度”。

- 将托管主机移动至 https://github.com/librsync/librsync/

- Travis-CI.org 集成测试，网址为 https://travis-ci.org/librsync/librsync/

- 删除 popt 的捆绑副本；必须进行单独安装。

- 您可以在运行“autogen.sh”之前设置“$LIBTOOLIZE”，例如，在 OS X Homebrew 上，它被称为“glibtoolize”。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

检测

Fedora 20：csync2-1.34-15.fc20 / duplicity-0.6.25-3.fc20 / librsync-1.0.0-1.fc20 / 等 (2015-3366)

medium Nessus 插件 ID 81958

未找到变更日志