Más de 660.000 servidores Rsync expuestos son potencialmente vulnerables a seis nuevas vulnerabilidades, incluido un fallo de desbordamiento de búfer de montón de gravedad crítica que permite la ejecución remota de código en los servidores.

La vulnerabilidad de severidad crítica consiste en un manejo inadecuado de las longitudes de checksum controladas por atacantes, lo que provoca un desbordamiento de búfer de montículo ( heap-buffer-overflow). La explotación de esta vulnerabilidad permite a los atacantes escribir fuera de los límites, lo que podría conducir a una ejecución remota de código. Se ha asignado el identificador CVE-2024-12084 para esta vulnerabilidad.

Rsync es una herramienta de código abierto de sincronización de archivos y transferencia de datos valorada por su capacidad para realizar transferencias incrementales, reduciendo los tiempos de transferencia de datos y el uso de ancho de banda.

Admite transferencias de sistemas de archivos locales, transferencias remotas a través de protocolos seguros como SSH y sincronización directa de archivos a través de su propio demonio.

La herramienta es muy utilizada por sistemas de copia de seguridad como Rclone, DeltaCopy, ChronoSync, repositorios públicos de distribución de archivos y operaciones de gestión de servidores y nubes.

Los fallos de Rsync fueron descubiertos por Google Cloud e investigadores de seguridad independientes y pueden combinarse para crear potentes cadenas de explotación que conducen al compromiso remoto del sistema.

«En la CVE más grave, un atacante sólo necesita acceso de lectura anónimo a un servidor rsync, como un espejo público, para ejecutar código arbitrario en la máquina en la que se ejecuta el servidor», reza el boletín publicado en Openwall.

Los seis fallos se resumen a continuación:

• Heap Buffer Overflow (CVE-2024-12084): Vulnerability arising from improper handling of checksum lengths in the Rsync daemon, leading to out-of-bounds writes in the buffer. It affects versions 3.2.7 through < 3.4.0 and can enable arbitrary code execution. Mitigation involves compiling with specific flags to disable SHA256 and SHA512 digest support. (CVSS score: 9.8)
• Information Leak via Uninitialized Stack (CVE-2024-12085): Flaw allowing the leakage of uninitialized stack data when comparing file checksums. Attackers can manipulate checksum lengths to exploit this vulnerability. It affects all versions below 3.4.0, with mitigation achievable by compiling with the -ftrivial-auto-var-init=zero flag to initialize stack contents. (CVSS score: 7.5)
• Server Leaks Arbitrary Client Files (CVE-2024-12086): Vulnerability allowing a malicious server to enumerate and reconstruct arbitrary client files byte-by-byte using manipulated checksum values during file transfer. All versions below 3.4.0 are affected. (CVSS score: 6.1)
• Path Traversal via --inc-recursive Option (CVE-2024-12087): Issue that stems from inadequate symlink verification when using the --inc-recursive option. Malicious servers can write files outside the intended directories on the client. All versions below 3.4.0 are vulnerable. (CVSS score: 6.5)
• Bypass of --safe-links Option (CVE-2024-12088): Flaw which occurs when Rsync fails to properly verify symbolic link destinations containing other links. It results in path traversal and arbitrary file writes outside designated directories. All versions below 3.4.0 are impacted. (CVSS score: 6.5)
• Symbolic Link Race Condition (CVE-2024-12747): Vulnerability arising from a race condition in handling symbolic links. Exploitation may allow attackers to access sensitive files and escalate privileges. All versions below 3.4.0 are affected. (CVSS score: 5.6)