4Drez

Múltiplos problemas de injeção de comandos e argumentos permitem que invasores executem comandos arbitrários ao fornecer entradas maliciosas por meio de vários caminhos de código. Esses caminhos incluem a variável de ambiente `RSYNC CONNECT PROG`, hooks de daemon, o wrapper rsync-ssl e a injeção de nova linha em comandos de shell remoto. Invasores podem injetar metacaracteres de shell ou caracteres de nova linha em valores fornecidos pelo usuário e não sanitizados, como hostnames e hostspecs, para executar comandos com os privilégios do processo rsync ou do usuário invocador.

Um problema de leitura arbitrária de arquivos existe devido ao seguimento inadequado de links simbólicos (symlinks) durante o processamento de arquivos de configuração de entrada. Atacantes podem ler arquivos acessíveis ao processo do daemon rsync ao colocar um link simbólico em um caminho previsível para `--files-from` ou `--password-file`, ou ao fornecer um caminho `--files-from` que escape da raiz do módulo do daemon. Isso afeta o processamento de `--files-from`, `--password-file` e arquivos de mesclagem de filtro.

Existe uma falha de bypass de autorização no processamento da diretiva auth users. O parser utiliza tokenização apenas por vírgulas ao dividir a lista de usuários, o que falha ao processar corretamente entradas no formato `@Group Name` quando o nome do grupo contém um espaço. Isso faz com que o parser divida a entrada no limite do espaço, resultando no descarte silencioso da regra de negação associada. Consequentemente, um usuário autenticado que deveria ter o acesso negado com base em seu nome de usuário ou associação a grupo pode se conectar a um módulo restrito.