远程 Debian 12 主机上安装的一个程序包受到 dsa-5843 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5843-2 security@debian.org Debian 安全公告 DSA-5843-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 1 月 16 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：rsync Debian 缺陷：1093052 1093089 CVE ID：CVE-2024-12084 CVE-2024-12085 CVE-2024-12086 CVE-2024-12087 CVE-2024-12088 CVE-2024-12747

    DSA 5843-1 中公布的 rsync 更新在使用 -H 选项保留硬链接时引入了一个回归。现在可使用更新后的程序包来修复此问题。

    在快速、通用的远程（和本地）文件复制工具 rsync 中发现数个漏洞。

    CVE-2024-12084

        Simon Scannell、Pedro Gallegos 和 Jasiel Spelman 发现一个基于堆的缓冲区溢出漏洞，这是因为未正确处理攻击者控制的校验和长度所导致。远程攻击者可利用此缺陷执行代码。

    CVE-2024-12085

        Simon Scannell、Pedro Gallegos 和 Jasiel Spelman 报告了 rsync 比较文件校验和的方式中存在缺陷，从而允许远程攻击者触发信息泄漏。

    CVE-2024-12086

        Simon Scannell、Pedro Gallegos 和 Jasiel Spelman 发现一个缺陷，其可导致服务器泄漏客户端计算机中的任意文件内容。

    CVE-2024-12087

        Simon Scannell、Pedro Gallegos 和 Jasiel Spelman 报告了 rsync 后台程序中的一个路径遍历漏洞，可影响
        --inc-recursive 选项，可允许服务器写入客户端预期目标目录之外的文件。

    CVE-2024-12088

        Simon Scannell、Pedro Gallegos 和 Jasiel Spelman 报告，使用 --safe-links 选项时，rsync 无法正确验证符号链接目标中是否含有与其存在的另一个符号链接，从而导致路径遍历和所需目录外的任意文件写入。

    CVE-2024-12747

        Aleksei Gorban loqpa 发现处理符号链接时，存在一个争用条件，可导致信息泄露，从而可实现权限升级。

    对于稳定发行版本 (bookworm)，已在版本 3.2.7-1+deb12u2 中修复这些问题。

    建议您升级 rsync 程序包。

    如需了解 rsync 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/rsync

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 24.10 主机上安装的程序包受到 USN-7206-3 公告中提及的多个漏洞的影响。

    USN-7206-1 修复了 Ubuntu 14.04 LTS 至 Ubuntu 24.04 LTS 中的多个漏洞。此更新提供针对 Ubuntu 24.10 的相应更新。



Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Azure Linux 3.0 主机上安装的 rsync 版本低于测试版本。因此，该程序受到 CVE-2024-12084 公告中提及的一个漏洞影响。

  - 在 rsync 后台程序中发现一个基于堆的缓冲区溢出缺陷。此问题是由于未正确处理代码中由攻击者控制的校验和长度 (s2length)。当 MAX_DIGEST_LEN 超过修复的 SUM_LENGTH（16 字节）时，攻击者可在 sum2 缓冲区中越界写入。(CVE-2024-12084)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS  / 24.04 LTS 主机上安装的一个程序包受到 USN-7206-1 公告中提及的多个漏洞影响。

    Simon Scannell、Pedro Gallegos 和 Jasiel Spelman 发现 rsync 未正确处理校验和长度。攻击者可利用此问题执行任意代码。(CVE-2024-12084)

    Simon Scannell、Pedro Gallegos 和 Jasiel Spelman 发现 rsync 会比较校验和与未初始化的内存。攻击者会利用此漏洞泄露敏感信息。(CVE-2024-12085)

    Simon Scannell、Pedro Gallegos 和 Jasiel Spelman 发现 rsync 未正确处理文件校验。恶意服务器可利用此问题暴露任意客户端文件。(CVE-2024-12086)

    Simon Scannell、Pedro Gallegos 和 Jasiel Spelman 发现 rsync 未正确处理某些设置的符号链接。攻击者可利用此缺陷写入位于预期目录之外的文件。(CVE-2024-12087)

    Simon Scannell、Pedro Gallegos 和 Jasiel Spelman 发现 rsync 未能验证某些设置的符号链接目标。攻击者可利用此问题进行路径遍历攻击。
    (CVE-2024-12088)

    Aleksei Gorban 在 rsync 的符号链接处理中发现一个争用条件。攻击者可利用此问题访问敏感信息或升级权限。(CVE-2024-12747)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 rsync 版本低于 3.4.0。因此，如公告 SSA:2025-014-01 所述，其会受到多个漏洞影响。

    为 Slackware 15.0 以及当前版本提供了用于修复安全问题的新 rsync 程序包。

Tenable 已直接从 rsync 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202501-01 中所述漏洞的影响（rsync：多种漏洞）

    已在 rsync 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。

Tenable 已直接从 Gentoo Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
214097	Debian dsa-5843：rsync - 安全更新	Nessus	Debian Local Security Checks	2025/1/14	2025/6/19	high
214724	Ubuntu 24.10：rsync 漏洞 (USN-7206-3)	Nessus	Ubuntu Local Security Checks	2025/1/28	2025/6/19	high
215525	Azure Linux 3.0 安全更新：rsync (CVE-2024-12084)	Nessus	Azure Linux Local Security Checks	2025/2/10	2025/6/19	critical
214143	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS：Vim 漏洞 (USN-7206-1)	Nessus	Ubuntu Local Security Checks	2025/1/14	2025/6/19	high
214145	Slackware Linux 15.0/最新版 rsync 多个漏洞 (SSA:2025-014-01)	Nessus	Slackware Local Security Checks	2025/1/14	2025/6/19	high
214234	GLSA-202501-01：rsync：多个漏洞	Nessus	Gentoo Local Security Checks	2025/1/15	2025/6/19	high

检测

插件搜索

high

high

critical

high

high

high