librsync 1.0.0 の変更（2015-01-23） ======================================

- セキュリティ：CVE-2014-8242：librsync は以前、切り捨てられた MD4 の「強い」チェックサムを使用してブロックを照合していました。
 しかしながら、MD4 は暗号的に強くありません。攻撃者がファイルの一部の内容を制御できる場合、そのファイルが librsync/rdiff を使用して転送される場合には、それを利用してそのファイルの他の領域も制御できることができます。たとえば、これは、何らかの攻撃者が制御するデータを含むデータベース、メールボックス、または VM イメージで発生する場合があります。この問題を軽減するために、署名がデフォルトで 256 ビット BLAKE2 ハッシュで計算されます。これらの署名ファイルを与えた場合、古いバージョンの librsync が誤ったマジックナンバーについて問題を起こします。新しい「rdiff sig --hash=md4」オプションの使用、または API に「signature magic」を指定することで、後方互換性を取得できますが、古いファイルまたは信頼できないデータを含む新しいファイルでは、これは使用するべきではありません。これらの署名から生成されたデルタは、生成時に BLAKE2 も使用しますが、古いバージョンで読むことができる出力を作成します。https://github.com/librsync/librsync/issues/5 を参照してください。これを報告し、当初のパッチを提供してくれた Michael Samuel <miknet.net> に感謝の意を表します。

- 多様なビルド修正、Timothy Gu に感謝の意を表します。

- Debian からの rdiff man ページの向上。

- RPM ビルドのための librsync.spec ファイルの向上。

- 大型のファイルでのバグ #1110812「internal error: job made no progress（内部エラー：ジョブが進行しません）」を修正。

- ホスティングを https://github.com/librsync/librsync/ に移動

- https://travis-ci.org/librsync/librsync/ での Travis-CI.org 統合テスト

- popt のバンドルコピーを削除。これは別途インストールする必要があります。

- 「autogen.sh」を実行する前に「$LIBTOOLIZE」を設定できます。たとえば OS X Homebrew では、これは「glibtoolize」と呼ばれています。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

Fedora 20：csync2-1.34-15.fc20/duplicity-0.6.25-3.fc20/librsync-1.0.0-1.fc20/など（2015-3366）

medium Nessus プラグイン ID 81958

変更ログが見つかりません