AlmaLinux 9.2 [TuxCare] セキュリティ更新: rsync / rsync-daemon の複数の脆弱性 (ALMALINUX9.2:CLSA-2026:1778236507)

medium Nessus プラグイン ID 359658

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1778236507アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- rsync に欠陥が見つかりました。これにより、サーバーがクライアントのマシンから任意のファイルのコンテンツを列挙できる可能性があります。この問題は、ファイルがクライアントからサーバーにコピーされているときに発生します。このプロセス中、rsync サーバーは比較するローカルデータのチェックサムをクライアントに送信し、サーバーに送信する必要があるデータを判断します。任意のファイルに対して特別に設定されたチェックサム値を送信することで、攻撃者は、クライアントからの応答を基に、これらのファイルのデータをバイト単位で再構築できる可能性があります。(CVE-2024-12086)

- rsync に欠陥が見つかりました。この脆弱性は、rsync がシンボリックリンクを処理する際の競合状態から発生します。シンボリックリンクに遭遇したときの Rsync のデフォルトの動作は、それらをスキップすることです。攻撃者が通常のファイルを適切なタイミングでシンボリックリンクで置き換えた場合、デフォルトの動作をバイパスしてシンボリックリンクをトラバースすることが可能でした。rsyncプロセスの権限によっては、攻撃者が秘密情報を漏えいさせ、権限昇格を引き起こす可能性があります。(CVE-2024-12747)

- rsync ファイル転送の受信者として動作する悪意のあるクライアントが、負の配列インデックスを介して、ヒープベースのバッファの領域外読み取りを引き起こす可能性があります。この問題をトリガーするには、悪意のある rsync クライアントがリモート rsync モジュールへの読み取りアクセス権以上を必要とします。(CVE-2025-10158)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。