Kritieke rsync-kwetsbaarheid maakt aanval door malafide servers mogelijk

[Captain Kirk]

Gebruikers van de populaire back-up- en synchronisatiesoftware rsync zijn gewaarschuwd voor een kritieke kwetsbaarheid in de software waardoor een malafide server of man-in-the-middle-aanvaller willekeurige bestanden kan schrijven in directories van clients die verbinding maken. Het probleem wordt veroorzaakt door onvoldoende controle in een functie van rsync waardoor de server kan bepalen welke bestanden en directories er naar de client worden gestuurd.

Daardoor is het mogelijk voor een malafide rsync-server of man-in-the-middle-aanvallers om kritieke bestanden in de rsync-directory en -subdirectories te overschrijven, zoals het .ssh/authorized_keys bestand. Volgens onderzoekers van securitybedrijf Prodaft die het probleem ontdekten lijkt de nu gevonden kwetsbaarheid (CVE-2022-29154) erg op een beveiligingslek dat begin 2019 in OpenSSH werd gevonden en het ook mogelijk maakte om bestanden bij clients te overschrijven.

Het probleem speelt in versies voor rsync 3.2.5. Er is inmiddels een prelease van 3.2.5 uitgebracht, maar verschillende lezers van Hacker News hebben hun twijfels over de gekozen oplossing van de rsync-ontwikkelaars.

 

bron: https://www.security.nl