リモートホストは、GLSA-201605-04（rsync：複数の脆弱性）で説明されている脆弱性の影響を受けます

rsync で複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、シンボリックリンク攻撃を通じて任意のファイルに書き込みを行う可能性があります。
 回避策：

現時点で、既知の回避策はありません。

Michael Samuel 氏による報告：

1.0.0 より前の librsync は、切り捨てられた MD4 チェックサムを使用し、ブロックを一致させます。これにより、リモートの攻撃者が、誕生日攻撃を通じて、送信データを容易に修正できます。

rsync のこの更新では、次の 2 つのセキュリティ問題が修正されます：

- CVE-2014-8242：サービス拒否につながるチェックサムの衝突（bsc#900914）

- CVE-2014-9512：悪意のあるサーバーが、移動されたディレクトリの外にファイルを送信する可能性があります（bsc#915410）

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

更新済みの librsync パッケージは、以下のセキュリティの脆弱性を修正します：

1.0.0 より前の librsync で切り捨てられた MD4 の強いチェックサムを使用してブロックに照合していました。しかしながら、MD4 は暗号的に強くありません。攻撃者がファイルの一部の内容を制御できる場合、そのファイルが librsync/rdiff を使用して転送される場合には、それを利用してそのファイルの他の領域も制御する可能性があります（CVE-2014-8242）。

これを修正する変更は、librsync の古いバージョンに対して下位互換性がありません。新しい rdiff sig --hash=md4 オプションの使用、または API に signature magic を指定することで、下位互換性を取得できますが、古いファイルまたは信頼できないデータを含む新しいファイルでは、これは使用するべきではありません。

また、librsync ライブラリを使用するアプリケーションは、更新されたライブラリに対して再コンパイルする必要があります。rdiff-backup パッケージは、この理由のため再構築されました。

librsync 1.0.0 の変更（2015-01-23） ======================================

- セキュリティ：CVE-2014-8242：librsync は以前、切り捨てられた MD4 の「強い」チェックサムを使用してブロックを照合していました。
 しかしながら、MD4 は暗号的に強くありません。攻撃者がファイルの一部の内容を制御できる場合、そのファイルが librsync/rdiff を使用して転送される場合には、それを利用してそのファイルの他の領域も制御できることができます。たとえば、これは、何らかの攻撃者が制御するデータを含むデータベース、メールボックス、または VM イメージで発生する場合があります。この問題を軽減するために、署名がデフォルトで 256 ビット BLAKE2 ハッシュで計算されます。これらの署名ファイルを与えた場合、古いバージョンの librsync が誤ったマジックナンバーについて問題を起こします。新しい「rdiff sig --hash=md4」オプションの使用、または API に「signature magic」を指定することで、後方互換性を取得できますが、古いファイルまたは信頼できないデータを含む新しいファイルでは、これは使用するべきではありません。これらの署名から生成されたデルタは、生成時に BLAKE2 も使用しますが、古いバージョンで読むことができる出力を作成します。https://github.com/librsync/librsync/issues/5 を参照してください。これを報告し、当初のパッチを提供してくれた Michael Samuel <miknet.net> に感謝の意を表します。

- 多様なビルド修正、Timothy Gu に感謝の意を表します。

- Debian からの rdiff man ページの向上。

- RPM ビルドのための librsync.spec ファイルの向上。

- 大型のファイルでのバグ #1110812「internal error: job made no progress（内部エラー：ジョブが進行しません）」を修正。

- ホスティングを https://github.com/librsync/librsync/ に移動

- https://travis-ci.org/librsync/librsync/ での Travis-CI.org 統合テスト

- popt のバンドルコピーを削除。これは別途インストールする必要があります。

- 「autogen.sh」を実行する前に「$LIBTOOLIZE」を設定できます。たとえば OS X Homebrew では、これは「glibtoolize」と呼ばれています。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

rsync のこの更新で、2 つのセキュリティ問題および 2 つの非セキュリティバグが修正されます。

次の脆弱性が修正されました：

- CVE-2014-8242：サービス拒否につながるチェックサムの衝突（bsc#900914）

- CVE-2014-9512：悪意のあるサーバーが、移動されたディレクトリの外にファイルを送信する可能性があります（bsc#915410）

以下の非セキュリティ問題が修正されました。

- bsc#922710：SLP を登録しようとする際に rsyncd がログをスパムすることが防止されます。

- bsc#898513：SLP サポートが rsync 使用を破壊しました。

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

rsync が、1 つのセキュリティの問題を修正するため更新されました。

以下のセキュリティの問題が修正されました。

- CVE-2014-8242：サービス拒否につながるチェックサムの衝突（bsc#900914）。

以下の非セキュリティの問題が修正されました。

- 「use slp」ディレクティブを再導入（bsc#922710）

- デフォルトでは無効化

- slp はあまり使用されませんが、問題を頻繁に引き起こしたようです（例：boo#898513、bsc#922710）。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
91377	GLSA-201605-04：rsync：複数の脆弱性	Nessus	Gentoo Local Security Checks	2016/5/31	2021/1/11	medium
87832	FreeBSD：librsync -- 競合の脆弱性（b22b016b-b633-11e5-83ef-14dae9d210b8）	Nessus	FreeBSD Local Security Checks	2016/1/11	2021/1/4	medium
88009	SUSE SLED11/SLES11 セキュリティ更新：rsync（SUSE-SU-2016:0176-1）	Nessus	SuSE Local Security Checks	2016/1/20	2021/1/6	medium
83096	Mandriva Linux セキュリティアドバイザリ：librsync（MDVSA-2015:204）	Nessus	Mandriva Local Security Checks	2015/4/28	2021/1/14	high
81716	Fedora 22：csync2-1.34-15.fc22/duplicity-0.6.25-3.fc22/librsync-1.0.0-1.fc22/など（2015-2923）	Nessus	Fedora Local Security Checks	2015/3/10	2021/1/11	medium
88007	SUSE SLED12/SLES12 セキュリティ更新：rsync（SUSE-SU-2016:0173-1）	Nessus	SuSE Local Security Checks	2016/1/20	2021/1/6	medium
81958	Fedora 20：csync2-1.34-15.fc20/duplicity-0.6.25-3.fc20/librsync-1.0.0-1.fc20/など（2015-3366）	Nessus	Fedora Local Security Checks	2015/3/20	2021/1/11	medium
81959	Fedora 21：csync2-1.34-15.fc21/duplicity-0.6.25-3.fc21/librsync-1.0.0-1.fc21/など（2015-3497）	Nessus	Fedora Local Security Checks	2015/3/20	2021/1/11	medium
86394	openSUSE セキュリティ更新：rsync（openSUSE-2015-659）	Nessus	SuSE Local Security Checks	2015/10/15	2021/1/19	medium

検出

プラグインの検索

medium

medium

medium

high

medium

medium

medium

medium

medium