Pesquisadores do Google Cloud identificaram seis falhas de segurança na popular ferramenta de sincronização de arquivos Rsync, amplamente utilizada em sistemas Unix. Algumas dessas vulnerabilidades, consideradas críticas, podem permitir que invasores executem código arbitrário em dispositivos de clientes que utilizam a ferramenta.
De acordo com o CERT Coordination Center (CERT/CC), as brechas podem ser exploradas por servidores maliciosos, possibilitando leitura ou gravação de arquivos arbitrários nos dispositivos conectados. Entre os riscos estão a exposição de dados sensíveis, como chaves SSH, e a execução de código malicioso, comprometendo arquivos críticos, como ~/.bashrc ou ~/.popt.
Detalhes das vulnerabilidades:
As falhas identificadas foram classificadas com diferentes níveis de gravidade, destacando-se o CVE-2024-12084, com uma pontuação CVSS de 9,8. A lista completa inclui:
- CVE-2024-12084 (CVSS: 9,8): Estouro de buffer de pilha devido ao tratamento incorreto de comprimento da soma de verificação.
- CVE-2024-12085 (CVSS: 7,5): Vazamento de informações causado por conteúdo de pilha não inicializado.
- CVE-2024-12086 (CVSS: 6,1): Vazamento de arquivos arbitrários de clientes.
- CVE-2024-12087 (CVSS: 6,5): Travessia de caminho no servidor Rsync.
- CVE-2024-12088 (CVSS: 6,5): Bypass da opção
--safe-links, permitindo travessia de caminho. - CVE-2024-12747 (CVSS: 5,6): Condição de corrida ao lidar com links simbólicos.
Os pesquisadores Simon Scannell, Pedro Gallegos e Jasiel Spelman, do Google Cloud, foram responsáveis pela descoberta de cinco dessas falhas. A vulnerabilidade de condição de corrida foi reportada pelo especialista Aleksei Gorban.
Impactos das falhas:
Conforme explicado por Nick Tait, da Red Hat Product Security, a falha mais grave (CVE-2024-12084) permite que invasores com acesso de leitura anônimo a um servidor Rsync executem código arbitrário na máquina em que o servidor está ativo. Além disso, a combinação das vulnerabilidades CVE-2024-12084 e CVE-2024-12085 pode levar à execução de código malicioso em clientes que interagem com servidores comprometidos.
Atualização e medidas de mitigação:
Para solucionar essas falhas, foi lançada a versão 3.4.0 do Rsync, que inclui patches para todas as vulnerabilidades reportadas. Os usuários que não conseguirem aplicar a atualização devem considerar as seguintes alternativas de mitigação:
- CVE-2024-12084: Desabilitar o suporte SHA ao compilar com as opções
CFLAGS=-DDISABLE_SHA512_DIGESTeCFLAGS=-DDISABLE_SHA256_DIGEST. - CVE-2024-12085: Compilar o programa com o parâmetro
-ftrivial-auto-var-init=zeropara garantir a inicialização de variáveis na pilha.
Manter as ferramentas atualizadas e seguir as recomendações de segurança são passos essenciais para proteger sistemas Unix contra possíveis ataques.