Auf der Open Source Software Security Mailingliste wurden am 14.01.2025 Details zu 6 teils kritischen Schwachstellen in rsync-Servern veröffentlicht. Es handelt sich um die Sicherheitslücken CVE-2024-12084, CVE-2024-12085, CVE-2024-12086, CVE-2024-12087, CVE-2024-12088 und CVE-2024-12747.
Was ist ein rsync-Server?
Ein rsync-Server ist ein Dienst, der das effiziente Synchronisieren und Übertragen von Dateien zwischen Computern ermöglicht, basierend auf Unterschieden zwischen Quell- und Zielverzeichnis. Er nutzt das rsync-Protokoll, um Daten zu übertragen, wobei nur geänderte Teile von Dateien kopiert werden, um Bandbreite zu sparen. Typischerweise wird er für Backups, Dateireplikation und Servermigrationen eingesetzt und ist deshalb relativ verbreitet.
Von den nun beschriebenen Sicherheitslücken sind auch rsync-Server betroffen, die eine anonyme Authentifizierung nutzen. Im schlimmsten Fall können die Schwachstellen genutzt werden, um beliebigen Code auszuführen.
Die 6 veröffentlichten Schwachstellen im Überblick
[1] Heap Buffer Overflow in Rsync due to Improper Checksum Length Handling
CVE-ID: CVE-2024-12084
CVSS 3.1: 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
Beschreibung: Ein Heap-Buffer-Overflow im rsync-Daemon, verursacht durch unsachgemäße Verarbeitung angreiferkontrollierter Checksummenlängen (s2length). Überschreitet MAX_DIGEST_LEN die feste SUM_LENGTH von 16 Byte, kann ein Angreifer außerhalb der Grenzen des sum2-Puffers schreiben.
Betroffene Versionen: ab 3.2.7 und vor 3.4.0
Melder: Simon Scannell (Google), Pedro Gallegos (Google), Jasiel Spelman (Google)
Mitigation: SHA-Unterstützung deaktivieren durch Kompilierung mit CFLAGS=-DDISABLE_SHA512_DIGEST und CFLAGS=-DDISABLE_SHA256_DIGEST.
[2] Info Leak via Uninitialized Stack Contents
CVE-ID: CVE-2024-12085
CVSS 3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)
Beschreibung: Ein Fehler im rsync-Daemon beim Vergleich von Datei-Checksummen erlaubt es einem Angreifer, die Checksummenlänge (s2length) zu manipulieren, um einen Vergleich zwischen einer Checksumme und uninitialisiertem Speicher zu erzwingen und dabei byteweise uninitialisierte Stack-Daten auszulesen.
Betroffene Versionen: vor 3.4.0
Melder: Simon Scannell (Google), Pedro Gallegos (Google), Jasiel Spelman (Google)
Mitigation: Kompilierung mit -ftrivial-auto-var-init=zero, um den Stack-Inhalt auf null zu setzen.
[3] Rsync Server Leaks Arbitrary Client Files
CVE-ID: CVE-2024-12086
CVSS 3.1: 6.1 (AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N)
Beschreibung: Ein Server kann den Inhalt beliebiger Dateien auf dem Client-Rechner enumerieren. Beim Kopieren von Dateien vom Client zum Server sendet der rsync-Server lokale Checksummen zum Abgleich an den Client. Durch speziell konstruierte Checksummenwerte für beliebige Dateien kann ein Angreifer die Daten dieser Dateien byteweise anhand der Antworten des Clients rekonstruieren.
Betroffene Versionen: vor 3.4.0
Melder: Simon Scannell (Google), Pedro Gallegos (Google), Jasiel Spelman (Google)
[4] Path Traversal Vulnerability in Rsync
CVE-ID: CVE-2024-12087
CVSS 3.1: 6.5 (AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N)
Beschreibung: Eine Path-Traversal-Schwachstelle, die durch die Option --inc-recursive ausgelöst wird, welche standardmäßig für viele Client-Optionen aktiviert ist und auch vom Server erzwungen werden kann. Fehlende Symlink-Verifizierung in Kombination mit Deduplizierungsprüfungen pro Dateiliste erlaubt es einem Server, Dateien außerhalb des vom Client vorgesehenen Zielverzeichnisses zu schreiben. Ein bösartiger Server könnte so schädliche Dateien an beliebigen, nach gültigen Pfaden benannten Orten auf dem Client ablegen.
Betroffene Versionen: vor 3.4.0
Melder: Simon Scannell (Google), Pedro Gallegos (Google), Jasiel Spelman (Google)
[5] –safe-links Option Bypass Leads to Path Traversal
CVE-ID: CVE-2024-12088
CVSS 3.1: 6.5 (AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N)
Beschreibung: Bei Nutzung der Option --safe-links prüft rsync nicht korrekt, ob ein symbolisches Linkziel selbst wiederum einen symbolischen Link enthält. Das führt zu einer Path-Traversal-Schwachstelle, die beliebiges Schreiben von Dateien außerhalb des gewünschten Verzeichnisses ermöglichen kann.
Betroffene Versionen: vor 3.4.0
Melder: Simon Scannell (Google), Pedro Gallegos (Google), Jasiel Spelman (Google)
[6] Race Condition in Rsync Handling Symbolic Links
CVE-ID: CVE-2024-12747
CVSS 3.1: 5.6 (AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N)
Beschreibung: Eine Race Condition bei der Verarbeitung symbolischer Links durch rsync. Standardmäßig überspringt rsync symbolische Links. Ersetzt ein Angreifer zum richtigen Zeitpunkt eine reguläre Datei durch einen symbolischen Link, lässt sich dieses Standardverhalten umgehen und symbolischen Links folgen. Je nach Rechten des rsync-Prozesses kann ein Angreifer so sensible Informationen preisgeben und potenziell Rechte eskalieren.
Betroffene Versionen: vor 3.4.0
Melder: Aleksei Gorban („loqpa“)
Quelle: openwall.com/lists/oss-security/2025/01/14/3
Mint Secure GmbH
Was Unternehmen jetzt tun sollten
Unternehmen, die rsync-Server einsetzen, sollten sich darauf einstellen, dass zeitnah Patches eingespielt werden müssen, da die Sicherheitslücken teilweise so gravierend sind, dass darüber eine Remote Code Execution (RCE), also die Ausführung beliebigen Codes aus der Ferne, möglich ist. Ein passendes Patch-, Release- und Schwachstellenmanagement kann helfen, mit betreffenden Sicherheitslücken umzugehen, gern beraten wir euch dazu.
Folgt uns auf LinkedIn, um über kritische Sicherheitslücken wie diese im rsync-Server stets auf dem Laufenden zu bleiben.
Wie Mint Secure euch dabei unterstützt
Wir helfen euch, kritische Schwachstellen wie diese frühzeitig zu erkennen und systematisch zu beheben.
Schwachstellenscanning
Kontinuierliches Scanning eurer Infrastruktur zur frühzeitigen Erkennung kritischer CVEs wie den hier beschriebenen.
Patch- & Releasemanagement
Strukturierte Prozesse für zeitnahes Einspielen von Sicherheitsupdates in kritischen Systemen.
Penetrationstest
Gezielte Tests eurer Infrastruktur-Server, um Schwachstellen wie Path Traversal oder Buffer Overflows aufzudecken.
Setzt ihr rsync-Server ein? Wir beraten euch zu Patchmanagement und Schwachstellenscanning. Jetzt Kontakt aufnehmen.
Fazit
Mit CVE-2024-12084 bis CVE-2024-12088 sowie CVE-2024-12747 wurden gleich sechs teils kritische Schwachstellen in rsync-Servern bekannt, von einem Heap Buffer Overflow mit CVSS 9.8 bis hin zu Path-Traversal- und Race-Condition-Problemen. Insbesondere Server mit anonymer Authentifizierung sind gefährdet und sollten umgehend auf Version 3.4.0 oder neuer aktualisiert werden.
Ein strukturiertes Patch- und Schwachstellenmanagement ist der wirksamste Schutz gegen genau solche kurzfristig auftretenden, kritischen Sicherheitslücken.
Mint Secure unterstützt euch beim Umgang mit kritischen Schwachstellen wie diesen. Sprecht uns an.
