个人数字泔水\(⁠◔⁠‿⁠◔⁠)✨ Thinking...http://tg.okhk.nethttp://tg.okhk.net/posts/3291http://tg.okhk.net/posts/3291Tue, 14 Jan 2025 20:15:31 GMT<div class="tgme_widget_message_forwarded_from accent_color">Forwarded from <a class="tgme_widget_message_forwarded_from_name" href="https://t.me/AIGCRubbish/17" target="_blank" rel="noopener"><span>AIGC</span></a></div>研究人员在 rsync 中发现 6 个漏洞，其中最严重的漏洞允许攻击者通过匿名读取权限在服务器上执行任意代码。这些漏洞已在即将发布的 rsync 3.4.0 中修复。以下是漏洞详情：<br /><br />1. <b>CVE-2024-12084</b>：堆缓冲区溢出漏洞，由于校验和长度处理不当，攻击者可越界写入。影响版本：&gt;= 3.2.7 且 &lt; 3.4.0。建议禁用 SHA* 支持进行缓解。<br /><br />2. <b>CVE-2024-12085</b>：未初始化栈内容信息泄露漏洞，攻击者可通过操纵校验和长度泄露栈数据。影响版本：&lt; 3.4.0。建议编译时使用 <code>-ftrivial-auto-var-init=zero</code> 缓解。<br /><br />3. <b>CVE-2024-12086</b>：rsync 服务器可泄露客户端任意文件内容。影响版本：&lt; 3.4.0。<br /><br />4. <b>CVE-2024-12087</b>：路径遍历漏洞，由于 <code>--inc-recursive</code> 选项的符号链接验证不足，恶意服务器可写入客户端任意路径。影响版本：&lt; 3.4.0。<br /><br />5. <b>CVE-2024-12088</b>：<code>--safe-links</code> 选项绕过漏洞，导致路径遍历。影响版本：&lt; 3.4.0。<br /><br />6. <b>CVE-2024-12747</b>：符号链接处理中的竞争条件漏洞，可能导致信息泄露或权限提升。影响版本：&lt; 3.4.0。<br /><br />建议用户尽快升级到 rsync 3.4.0 以修复这些漏洞。<br /><br /><a href="https://kb.cert.org/vuls/id/952657" target="_blank" rel="noopener" title="https://kb.cert.org/vuls/id/952657">https://kb.cert.org/vuls/id/952657</a><br /><br /><a href="/search/result?q=%23%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8" title="#网络安全">#网络安全</a> <a href="/search/result?q=%23%E6%BC%8F%E6%B4%9E" title="#漏洞">#漏洞</a> <a href="/search/result?q=%23rsync" title="#rsync">#rsync</a> <a href="/search/result?q=%23CVE" title="#CVE">#CVE</a><br /><a href="/search/result?q=%23AIGC" title="#AIGC">#AIGC</a><a class="tgme_widget_message_link_preview" href="https://kb.cert.org/vuls/id/952657" target="_blank" rel="noopener" title="Rsync contains six vulnerabilities"> <div class="link_preview_site_name accent_color">kb.cert.org</div> <div class="link_preview_title">CERT/CC Vulnerability Note VU#952657</div> <div class="link_preview_description">Rsync contains six vulnerabilities</div> </a>