syncthing developers report :

syncthing can be caused to crash and exit if sent a malformed relay protocol message message with a negative length field.

The relay server strelaysrv can be caused to crash and exit if sent a malformed relay protocol message with a negative length field.

This update for syncthing fixes the following issues :

Update to 1.15.0/1.15.1

  - This release fixes a vulnerability where Syncthing and     the relay server can crash due to malformed relay     protocol messages (CVE-2021-21404); see     GHSA-x462-89pf-6r5h. (boo#1184428)

  - This release updates the CLI to use subcommands and adds     the subcommands cli (previously standalone stcli     utility) and decrypt (for offline verifying and     decrypting encrypted folders).

  - With this release we invite everyone to test the     'untrusted (encrypted) devices' feature. You should not     use it yet on important production data. Thus UI     controls are hidden behind a feature flag. For more     information, visit:
    https://forum.syncthing.net/t/testing-untrusted-encrypte     d-devices/16470 

Update to 1.14.0

  - This release adds configurable device and folder     defaults.

  - The output format of the /rest/db/browse endpoint has     changed. 

update to 1.13.1 :

  - This release adds configuration options for min/max     connections (see     https://docs.syncthing.net/advanced/option-connection-li     mits.html) and moves the storage of pending     devices/folders from the config to the database (see     https://docs.syncthing.net/dev/rest.html#cluster-endpoin     ts).

  - Bugfixes

  - Official builds of v1.13.0 come with the Tech Ui, which     is impossible to switch back from

update to 1.12.1 :

  - Invalid names are allowed and 'auto accepted' in folder     root path on Windows

  - Sometimes indexes for some folders aren't sent after     starting Syncthing

  - [Untrusted] Remove Unexpected Items leaves things behind

  - Wrong theme on selection

  - Quic spamming address resolving

  - Deleted locally changed items still shown as locally     changed

  - Allow specifying remote expected web UI port which would     generate a href somewhere

  - Ignore fsync errors when saving ignore files 

Update to 1.12.0

  - The 1.12.0 release

  - adds a new config REST API.

  - The 1.11.0 release

  - adds the sendFullIndexOnUpgrade option to control     whether all index data is resent when an upgrade is     detected, equivalent to starting Syncthing with
    --reset-deltas. This (sendFullIndexOnUpgrade=true) used     to be the behavior in previous versions, but is mainly     useful as a troubleshooting step and causes high     database churn. The new default is false.

  - Update to 1.10.0

  - This release adds the config option announceLANAddresses     to enable (the default) or disable announcing private     (RFC1918) LAN IP addresses to global discovery. 

  - Update to 1.9.0

  - This release adds the advanced folder option     caseSensitiveFS     (https://docs.syncthing.net/advanced/folder-caseSensitiv     eFS.html) to disable the new safe handling of case     insensitive filesystems. 

  - Fix Leap build by requiring at least Go 1.14

  - Prevent the build system to download Go modules which     would require an internet connection during the build

  - Update to 1.8.0

  - The 1.8.0 release

  - adds the experimental copyRangeMethod config on folders,     for use on filesystems with copy-on-write support.
    Please see     https://docs.syncthing.net/advanced/folder-copyrangemeth     od.html for details.

  - adds TCP hole punching, used to establish high     performance TCP connections in certain NAT scenarios     where only relay or QUIC connections could be used     previously.

  - adds a configuration to file versioning for how often to     run cleanup. This defaults to once an hour, but is     configurable from very frequently to never.

  - The 1.7.0 release performs a database migration to     optimize for clusters with many devices.

  - The 1.6.0 release performs a database schema migration,     and adds the BlockPullOrder, DisableFsync and     MaxConcurrentWrites folder options to the configuration     schema. The LocalChangeDetected event no longer has the     action set to added for new files, instead showing     modified for all local file changes.

  - The 1.5.0 release changes the default location for the     index database under some circumstances. Two new flags     can also be used to affect the location of the     configuration (-config) and database (-data) separately.
    The old -home flag is equivalent to setting both of     these to the same directory. When no flags are given the     following logic is used to determine the data location:
    If a database exists in the old default location, that     location is still used. This means existing     installations are not affected by this change. If     $XDG_DATA_HOME is set, use $XDG_DATA_HOME/syncthing. If     ~/.local/share/syncthing exists, use that location. Use     the old default location.

  - Update to 1.4.2 :

  - Bugfixes :

  - #6499: panic: nil pointer dereference in usage reporting

  - Other issues :

  - revert a change to the upgrade code that puts     unnecessary load on the upgrade server

  - Update to 1.4.1 :

  - Bugfixes :

  - #6289: 'general SOCKS server failure' since syncthing     1.3.3

  - #6365: Connection errors not shown in GUI

  - #6415: Loop in database migration 'folder db index     missing' after upgrade to v1.4.0

  - #6422: 'fatal error: runtime: out of memory' during     database migration on QNAP NAS

  - Enhancements :

  - #5380: gui: Display folder/device name in modal

  - #5979: UNIX socket permission bits

  - #6384: Do auto upgrades early and synchronously on     startup

  - Other issues :

  - #6249: Remove unnecessary RAM/CPU stats from GUI

  - Update to 1.4.0 :

  - Important changes :

  - New config option maxConcurrentIncomingRequestKiB

  - Replace config option maxConcurrentScans with     maxFolderConcurrency

  - Improve database schema

  - Bugfixes :

  - #4774: Doesn't react to Ctrl-C when run in a subshell     with -no-restart (Linux)

  - #5952: panic: Should never get a deleted file as needed     when we don't have it

  - #6281: Progress emitter uses 100% CPU

  - #6300: lib/ignore: panic: runtime error: index out of     range [0] with length 0

  - #6304: Syncing issues, database missing sequence entries

  - #6335: Crash or hard shutdown can case database     inconsistency, out of sync

  - Enhancements :

  - #5786: Consider always running the monitor process

  - #5898: Database performance: reduce duplication

  - #5914: Limit folder concurrency to improve performance

  - #6302: Avoid thundering herd issue by global request     limiter

  - Change the Go build requirement to a more flexible     'golang(API) >= 1.12'.

この syncthing 用の更新プログラムでは、次の問題が修正されています。

1.15.0/1.15.1 へ更新します

  - このリリースでは、無効な形式のリレープロトコルメッセージが原因で Syncthing およびリレーサーバーがクラッシュする可能性がある脆弱性が修正されます (CVE-2021-21404)。GHSA-x462-89pf-6r5h を参照してください。(boo#1184428)

  - このリリースは、サブコマンドを使用するように CLI を更新し、サブコマンド cli (以前はスタンドアロンの stcli ユーティリティ) および復号化 (暗号化されたフォルダのオフライン検証および復号化用) を追加します。

  - このリリースでは、「信頼されていない (暗号化された) デバイス」機能をテストすることを皆様に推奨しています。重要な実稼働データではまだ使用しないでください。したがって、UI コントロールは機能フラグの背後に隠れています。詳細については、こちらをご覧ください:
    https://forum.syncthing.net/t/testing-untrusted-encrypted-devices/16470 

1.14.0への更新

  - このリリースでは、構成可能なデバイスおよびフォルダのデフォルトが追加されています。

  - /rest/db/browse エンドポイントの出力形式が変更されました。 

1.13.1 への更新:

  - このリリースでは、最小 / 最大接続の構成オプションが追加され (https://docs.syncthing.net/advanced/option-connection-limits.html を参照)、保留中のデバイス / フォルダのストレージが構成からデータベースに移動されます (https://docs.syncthing.net/dev/rest.html#cluster-endpoints を参照)。

  - バグ修正

  - v1.13.0 の公式ビルドには、Tech Ui が付属しています。これを元に戻すことはできません

1.12.1 への更新:

  - 無効な名前が許可され、Windows のフォルダルートパスで「自動承認」されます

  - Syncthing の起動後に、一部のフォルダのインデックスが送信されない場合があります

  - [信頼できない] 予期しないアイテムを削除すると、問題が残ります

  - 選択のテーマが間違っています

  - Quic スパム送信のアドレス解決

  - ローカルで変更されたものとして表示されている、ローカルで変更されたアイテムを削除しました

  - どこかに href を生成するリモートの予期される Web UI ポートを指定できるようにします

  -ファイル無視を保存する際に fsync エラーを無視します 

1.12.0への更新

  - 1.12.0 リリース

  - 新しい構成 REST API を追加します。

  - 1.11.0 リリース

  - アップグレードが検出されたときにすべてのインデックスデータを再送信するかどうかを制御する sendFullIndexOnUpgrade オプションを追加します。これは、
    --reset-deltas で Syncthing を開始することに相当します。これ (sendFullIndexOnUpgrade=true) は以前のバージョンの動作でしたが、主にトラブルシューティングの手順として役立ち、データベースのチャーンが高くなります。新しいデフォルトは false です。

  - 1.10.0 への更新

  - このリリースでは、グローバルディスカバリへのプライベート (RFC1918) LAN IP アドレスのアナウンスを有効 (デフォルト) または無効にする構成オプション announceLANAddresses が追加されています。 

  - 1.9.0 への更新

  - このリリースでは、大文字と小文字を区別しないファイルシステムの新しい安全な処理を無効にするために、高度なフォルダオプションである caseSensitiveFS (https://docs.syncthing.net/advanced/folder-caseSensitiveFS.html) が追加されています。 

  - 少なくとも Go 1.14 を要求して Leap ビルドを修正します 

  - ビルドシステムが Go モジュールをダウンロードしないようにします。これにより、ビルド中にインターネット接続が必要になります。

  - 1.8.0 への更新

  - 1.8.0 リリース

  - コピーオンライトサポートのあるファイルシステムで使用するために、実験的な copyRangeMethod 構成をフォルダに追加します。
    詳細については、https://docs.syncthing.net/advanced/folder-copyrangemethod.html を参照してください。

  - TCP ホールパンチングを追加します。これは、以前はリレーまたは QUIC 接続しか使用できなかった特定の NAT シナリオで、高性能 TCP 接続を確立するために使用されます。

  - クリーンアップを実行する頻度をファイルのバージョン管理に追加します。これはデフォルトで 1 時間に 1 回ですが、非常に頻繁に設定することも、設定しないことも可能です。

  - 1.7.0 リリースは、データベース移行を実行して、多数のデバイスを持つクラスターを最適化します。

  - 1.6.0 リリースは、データベーススキーマの移行を実行し、BlockPullOrder、DisableFsync および MaxConcurrentWrites フォルダオプションを構成スキーマに追加します。LocalChangeDetected イベントで、新しいファイルに対して追加されたアクションが設定されなくなりました。代わりに、すべてのローカルファイルの変更に対して変更が表示されます。

  - 1.5.0 リリースでは、一部の状況でインデックスデータベースのデフォルトの場所が変更されます。2 つの新しいフラグを使用して、構成 (-config) とデータベース (-data) の場所に別々に影響を与えることもできます。
    古い -home フラグは、これらの両方を同じディレクトリに設定することと同等です。フラグが与えられない場合、データの場所を決定するために次のロジックが使用されます。
    古いデフォルトの場所にデータベースが存在する場合、その場所が引き続き使用されます。これは、既存のインストールがこの変更の影響を受けないことを意味します。$XDG_DATA_HOME が設定されている場合は、$XDG_DATA_HOME/syncthing を使用します。~/.local/share/syncthing が存在する場合は、その場所を使用します。古いデフォルトの場所を使用します。

  - 1.4.2 に更新します:

  - バグ修正:

  - #6499: panic: 使用状況レポートの nil ポインターデリファレンス

  - その他の問題:

  - アップグレードサーバーに不必要な負荷をかけるアップグレードコードの変更を元に戻します

  - 1.4.1 に更新します:

  - バグ修正:

  - #6289: syncthing 1.3.3 以来の「一般 SOCKS サーバー障害」

  - #6365: GUI に表示されない接続エラー

  - #6415: v1.4.0 へのアップグレード後のデータベース移行「フォルダ db インデックスの欠落」におけるループ

  - #6422: QNAP NAS でのデータベース移行中の「致命的なエラー: runtime: メモリ不足」

  - 拡張機能:

  - #5380: gui: モーダルでフォルダ / デバイス名を表示します

  - #5979: UNIX ソケット許可ビット

  - #6384: 起動時に早期かつ同期的に自動アップグレードを実行します

  - その他の問題:

  - #6249: GUI から不要な RAM / CPU 統計を削除します

  - 1.4.0 に更新します:

  - 重要な変更:

  - 新しい構成オプション maxConcurrentIncomingRequestKiB

  - 構成オプション maxConcurrentScans を maxFolderConcurrency を置換します

  - データベーススキーマを改善します

  - バグ修正:

  - #4774: - no-restart 付きのサブシェルで実行する場合、Ctrl-C に反応しません (Linux)

  - #5952: panic: ファイルがない場合、必要に応じて削除されたファイルを取得すべきではありません

  - #6281: プログレスエミッターが 100％ CPU を使用します

  - #6300: lib/ignore: panic: ランタイムエラー: インデックスが長さ 0 の範囲 [0] 外です

  - #6304: 同期の問題、データベースにシーケンスエントリがありません

  - #6335: クラッシュまたはハードシャットダウンにより、データベースの不一致、非同期が発生する可能性があります

  - 拡張機能:

  - #5786: 常にモニタープロセスを実行することを検討してください

  - #5898: データベースのパフォーマンス: 重複を減らします

  - #5914: フォルダの同時実行性を制限してパフォーマンスを改善します

  - #6302: グローバルリクエストリミッターによる群れの問題の発生を回避します

  - Go ビルド要件をより柔軟な「golang(API) > = 1.12」に変更します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
148520	FreeBSD : syncthing -- crash due to malformed relay protocol message (9ee01e60-6045-43df-98e5-a794007e54ef)	Nessus	FreeBSD Local Security Checks	2021/4/14	2021/4/16	high
149541	openSUSE Security Update : syncthing (openSUSE-2021-688)	Nessus	SuSE Local Security Checks	2021/5/18	2024/1/1	high
149541	openSUSEセキュリティ更新プログラム: syncthing(openSUSE-2021-688)	Nessus	SuSE Local Security Checks	2021/5/18	2024/1/1	high

検出

プラグインの検索

high

high

high