开源同步工具 rsync 曝重大漏洞，允许黑客越界写入缓冲区远程执行代码

IT之家即时新闻，Red Hat产品安全专家Nick Tait在最新文章中披露了Unix和Linux操作系统中常见的开源文件同步工具rsync存在的6个漏洞。最新版本3.4.0中修复了这些漏洞。

根据Nick Tait的介绍，其中最严重的是CVE-2024-12084，CVSS风险评分高达9.8分，存在于3.2.7及以上版本的rsync中。这是因为rsync处理程序未正确验证校验和长度，允许黑客越界写入sum2缓冲区，从而实现远程代码执行。

此外，Nick Tait还披露了CVE-2024-12085漏洞，CVSS风险评分为7.5，主要发生在rsync处理程序比对文件校验和的过程中。黑客通过控制校验和的长度，有机会使程序比对校验和与未初始化的内存，因此泄露未初始化的堆栈数据。

Bleeping Computer的调查显示，超过66万台服务器可能受到威胁，主要涉及中国大陆和美国的服务器。

声明：本文包含对外跳转链接，用于提供更多信息，节省时间。仅供参考。