Avis du CERT-FR
Objet : Vulnérabilité de rsync
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service
- Exécution de code arbitraire à distance
Systèmes affectés
Rsync 2.5.6 et versions antérieures.
Description
rsync est un utilitaire qui permet de synchroniser des fichiers entre plusieurs machines.
Une vulnérabilité de type débordement de mémoire présente dans rsync en mode serveur peut être exploitée à distance par un utilisateur mal intentionné afin d'exécuter du code arbitraire sur le serveur vulnérable.
Contournement provisoire
Pour se protéger contre une attaque venant de l'extérieur, il est recommandé de filtrer le port 873/tcp sur les pare-feux.
Solution
Installer la version 2.5.7 de rsync.
Documentation
-
Bulletin de sécurité DSA-404 de Debian :
http://www.debian.org/security/2003/dsa-404 -
Bulletin de sécurité GLSA 200312-03 de Gentoo :
http://www.securityfocus.com/advisories/6142 -
Bulletin de sécurité MDKSA-2003:111 de Mandrake :
http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2003:111 -
Bulletin de sécurité RHSA-2003:388 de Red Hat :
http://rhn.redhat.com/errata/RHSA-2003-388.html -
Bulletin de sécurité SuSE-SA:2003:50 de SuSE :
http://www.suse.com/de/security/2003_50_rsync.html -
Correctifs de sécurité de Sun pour les produits Sun Cobalt Qube 3, RaQ 4 et RaQ 550 :
http://ftp.cobalt.sun.com/pub/packages/ -
Correctifs de sécurité de Sun pour les produits Sun Cobalt RaQ XTR :
http://ftp.cobalt.sun.com/pub/packages/raqxtr/eng/RaQXTR-All-Security-1.0.1-16675.pkg -
Site de rsync :
http://rsync.samba.org
Gestion détaillée du document
| Date | Description |
|---|---|
| 04 décembre 2003 | version initiale. |
| 05 décembre 2003 | Ajout référence CVE et références aux bulletins de sécurité de Mandrake, Debian, SuSE, Red Hat et Gentoo. |
| 17 février 2004 | Ajout de la référence aux correctifs de sécurité de Sun pour les Sun Cobalt Qube3, RaQ 4 et RaQ 550. |
| 10 mars 2004 | Ajout de la référence au correctif de Sun pour Sun Cobalt RaQ XTR. |