同期ツール「rsync」に深刻な脆弱性 - 連日アップデートを公開

ファイルの転送や同期などの機能を提供する「rsync」に重要度が「クリティカル」とされるものをはじめ、複数の脆弱性が明らかになった。公開後に回帰バグが判明するなど、連日アップデートがリリースされており注意が必要。

ヒープベースのバッファオーバーフローの脆弱性「CVE-2024-12084」や、メモリバッファエラーにより「ASLR（Address Space Layout Randomization）」が無効となる脆弱性「CVE-2024-12085」など、あわせて6件の脆弱性が判明したもの。

エラー処理の不備「CVE-2024-12086」、パストラバーサルの脆弱性「CVE-2024-12087」「CVE-2024-12088」、シンボリックリンク処理時の競合状態「CVE-2024-12747」なども明らかとなっている。

脆弱性によって影響は異なるが、任意のコードを実行されたり、メモリやファイル情報の漏洩、ディレクトリ外へのアクセスなどが可能となるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを見ると「CVE-2024-12084」が「9.8」、「CVE-2024-12085」が「7.5」と続く。他脆弱性に関しても、「6.5」から「5.6」のレンジで評価されている。

開発チームは、現地時間1月15日に脆弱性を修正した「Rsync 3.4.0」をリリース。翌16日にはアップデートにより生じた回帰バグへ対処した「同3.4.1」を公開しており、アップデートが呼びかけられている。

（Security NEXT - 2025/01/20 ）ツイート