CentOS Linux 6 [TuxCare] セキュリティ更新: rsync 複数の脆弱性 (CENTOS6:CLSA-2026:1792767553)

high Nessus プラグイン ID 372105

Language:

概要

CentOS Linux ホストに 1 つ以上のセキュリティ更新プログラムが欠落しています。

説明

CentOS Linux 6ホストには、TuxCare CENTOS6:CLSA-2026:1792767553アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 3.5.0 より前の rsync には、rrsync 制限付きシェルラッパーに time-of-use に対する time-of-check to time-of-use(TOCTOU)競合状態の脆弱性があります。これにより、認証されたクライアントは、検証後、転送処理前にシンボリックリンクをパスコンポーネントに置き換えることにより、強制されたディレクトリ制限をエスケープすることが可能です。攻撃者はさらに、 --copy-unsafe-links、-D、および
--log-file rrsync を使用して、許可されたディレクトリサブツリーの外にあるファイルを読み書きします。(CVE-2026-53783)

- 3.5.0 前の rsync に任意のファイル読み取りの脆弱性があります。これにより、攻撃者が、 --files-from、 --password-file、フィルターマージファイルなどの入力構成ファイル処理に続くシンボリックリンクを悪用することで、rsync デーモンプロセスがアクセス可能なファイルを読み取る可能性があります。攻撃者が、シンボリックリンクを予測可能な --files-from または --password-file パスに配置するか、デーモンモジュールのルートをエスケープする --files-from パスを提供して、rsync プロセスがアクセス可能な任意のファイルを読み取る可能性があります。(CVE-2026-53802)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。