Fcasal

**Nome do Software Vulnerável e Versões Afetadas** rsync versões anteriores a 3.5.0 **Description** O tratamento inadequado de caminhos permite que um remetente mal-intencionado expanda o escopo das operações `--delete` além da subárvore de destino pretendida. Ao enviar uma lista de arquivos manipulada, um invasor pode fazer com que o receptor reclassifique entradas de diretórios pai implícitas ou trate caminhos sintéticos como a raiz da transferência. Isso pode ser alcançado por meio de múltiplos métodos, incluindo reclassificação de pai implícito, construção de caminho de raiz sintética, manipulação de raiz não diretório e comportamento de protocolo legado abaixo da versão 30, resultando na exclusão de arquivos fora do diretório de destino autorizado. **Recommendations** Atualize o rsync para a versão 3.5.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** rsync versões anteriores a 3.5.0 **Description** Existe um problema de escrita arbitrária de arquivos que permite que atacantes escrevam arquivos fora da árvore de destino pretendida. Isso ocorre ao especificar um caminho absoluto por meio das opções `--temp-dir` ou `--link-dest`, o que ignora a lógica de confinamento de renomeação. Isso permite que valores controlados pelo atacante escrevam arquivos em qualquer local acessível ao processo rsync. **Recommendations** Atualize o rsync para a versão 3.5.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** rsync versões anteriores a 3.5.0 **Description** Existe uma condição de corrida de link simbólico (symlink race condition) no recurso `--remove-source-files`. Isso ocorre quando um invasor com acesso à criação de links simbólicos substitui atomicamente um arquivo de origem por um link simbólico entre a conclusão da transferência e a chamada da função `unlink()`. Essa ação faz com que o software exclua o alvo do link simbólico em vez do arquivo de origem pretendido, resultando na exclusão arbitrária de arquivos. **Recommendations** Atualize para a versão 3.5.0 ou posterior. Como mitigação temporária, evite usar o recurso `--remove-source-files`.

**Nome do Software Vulnerável e Versões Afetadas** rsync versões 3.4.2 até 3.4.x **Descrição** Um problema de negação de serviço existe onde um remetente remoto pode esgotar os recursos do sistema no receptor. Isso ocorre porque o alias curto `--zt` para a opção `--compress-threads` ignora a correspondência de string da diretiva de recusa de opções, que verifica apenas nomes de opções longas. Um invasor pode fornecer um valor alto para a variável `--zt` para gerar um número ilimitado de threads de trabalho Zstandard, levando ao esgotamento dos recursos de memória e threads disponíveis. **Recomendações** Atualize o rsync para a versão 3.5.0.