新しいバージョン3.1.3、CVE-2018-5764のセキュリティ修正が含まれます。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

rsyncファイルコピーツールにインジェクションの脆弱性があることが発見されました。

Debian 7「Wheezy」では、この問題はrsyncバージョン3.0.9-4+deb7u2で修正されています。

お使いのrsyncパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.1.3 より前の rsync における rsyncd 内の options.c の parse_arguments 関数は、複数の
    --protect-args の使用を妨げないので、リモート攻撃者が引数サニタイズ保護メカニズムをバイパスする可能性があります。(CVE-2018-5764)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

systemd-units上の依存関係の削除

----

新しいバージョン3.1.3、CVE-2018-5764のセキュリティ修正が含まれます。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このrsyncの更新では、1つの問題を修正します。以下のセキュリティの問題が修正されました。

  - CVE-2018-5764：options.cのparse_arguments関数が、複数の--protect-argsの使用を防止していませんでした。これにより、リモートの攻撃者が、引数サニタイズ保護メカニズムをバイパスすることが可能でした（bsc#1076503）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このrsyncの更新では、1つの問題を修正します。以下のセキュリティの問題が修正されました。

  - CVE-2018-5764：options.cのparse_arguments関数が、複数の--protect-argsの使用を防止していませんでした。これにより、リモートの攻撃者が、引数サニタイズ保護メカニズムをバイパスすることが可能でした（bsc#1076503）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201805-04（rsync：任意のコマンド実行）で説明されている脆弱性に影響されています。 rsyncのoptions.c内のparse_arguments関数で、脆弱性が発見されました。影響：リモートの攻撃者が、プロセスの権限で任意のコマンドを実行する可能性があります。回避策：現時点では、既知の回避策はありません。

リモートの Debian 9 ホストには、dla-2833 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - 3.1.3 より前の rsync における rsyncd 内の options.c の parse_arguments 関数は、複数の
    --protect-args の使用を妨げないので、リモート攻撃者が引数サニタイズ保護メカニズムをバイパスする可能性があります。(CVE-2018-5764)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

rsyncが特定のデータ入力を不適切に処理することがわかりました。
攻撃者はこれを利用して、サービス拒否を引き起こすか、任意のコードを実行する可能性があります。(CVE-2017-16548)

rsyncが特定の引数を不適切に解析することがわかりました。ローカルの攻撃者がこれを利用して引数をバイパスし、任意のコードを実行する可能性があります。(CVE-2018-5764)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

セキュリティ問題を修正する新しいrsyncパッケージが、Slackware 13.0、13.1、13.37、14.0、14.1、14.2、および最新版で利用可能です。

This update for rsync fixes one issues.

以下のセキュリティの問題が修正されました。

  - CVE-2018-5764：The parse_arguments function in options.c did not prevent multiple --protect-args uses, which allowed remote attackers to bypass an argument-sanitization protection mechanism (bsc#1076503).

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

Trail of Bitsは、DARPA Cyber Grandチャレンジ用に開発された自動脆弱性発見ツールを使用して、zlibを監査しました。高速で汎用性の高いリモート（およびローカル）ファイルコピーツールであるrsyncは、zlibの埋め込みコピーを使用するため、これらの問題はrsyncにも存在します。

CVE-2016-9840未定義の動作を回避するため、C標準に準拠していないオフセットポインタの最適化を削除します。

CVE-2016-9841C標準に準拠するために、後置インクリメントだけを使用します。

CVE-2016-9842未定義の動作を回避するため、C標準に準拠していない負の値をシフトしないようにします。

CVE-2016-9843未定義の動作を回避するため、C標準に準拠していないbig-endian CRC計算でポインタを前置デクリメントしないようにします。

CVE-2018-5764すでにクライアントが送信している場合、--protect-argsを無視することで、リモート攻撃者がargument-sanitization保護メカニズムを回避するのを防ぎます。

Debian 8「Jessie」では、これらの問題はバージョン3.1.1-3+deb8u2で修正されました。

お使いのrsyncパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
106646	Fedora 27：rsync（2018-d0ebfab3f3）	Nessus	Fedora Local Security Checks	2018/2/7	2021/1/6	high
106174	Debian DLA-1247-1: rsyncのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2018/1/19	2021/1/11	high
222597	Linux Distros のパッチ未適用の脆弱性: CVE-2018-5764	Nessus	Misc.	2025/3/4	2025/8/15	high
106611	Fedora 26：rsync（2018-034101216d）	Nessus	Fedora Local Security Checks	2018/2/6	2021/1/6	high
106261	SUSE SLES11セキュリティ更新プログラム：rsync（SUSE-SU-2018:0172-1）	Nessus	SuSE Local Security Checks	2018/1/23	2021/1/19	high
106263	SUSE SLED12 / SLES12セキュリティ更新プログラム：rsync（SUSE-SU-2018:0174-1）	Nessus	SuSE Local Security Checks	2018/1/23	2019/9/10	high
109627	GLSA-201805-04：rsync：任意のコマンドの実行	Nessus	Gentoo Local Security Checks	2018/5/9	2024/10/11	high
155739	Debian DLA-2833-1 : rsync - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2021/12/1	2021/12/1	high
106295	Ubuntu 14.04 LTS / 16.04 LTS : rsync の脆弱性 (USN-3543-1)	Nessus	Ubuntu Local Security Checks	2018/1/24	2024/8/27	critical
106565	Slackware 13.0/13.1/13.37/14.0/14.1/14.2/最新版：rsync（SSA:2018-032-02）	Nessus	Slackware Local Security Checks	2018/2/2	2018/2/2	critical
107244	openSUSEセキュリティ更新プログラム：rsync（openSUSE-2018-237）	Nessus	SuSE Local Security Checks	2018/3/9	2021/1/19	high
123019	DebianDLA-1725-1: rsyncのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/3/25	2024/6/13	critical

検出

プラグインの検索

high

high

high

high

high

high

high

high

critical

critical

high

critical