CVE-2022-29154

Versões do rsync anteriores à 3.2.5

Uma falha no rsync permite que servidores remotos maliciosos gravem arquivos arbitrários dentro dos diretórios dos pares conectados. O servidor escolhe quais arquivos/diretórios são enviados ao cliente. No entanto, o cliente rsync realiza uma validação insuficiente dos nomes dos arquivos. Um servidor rsync malicioso (ou um invasor do tipo Man-in-The-Middle) pode sobrescrever arquivos arbitrários no diretório de destino do cliente rsync e em seus subdiretórios, por exemplo, sobrescrever o arquivo .ssh/authorized keys.

Para versões anteriores à 3.2.5, atualize para a versão 3.2.5 ou posterior para resolver a vulnerabilidade. Como solução temporária, considere restringir o acesso ao diretório de destino do cliente rsync e aos subdiretórios para minimizar o risco de exploração. Evite usar o cliente rsync com servidores não confiáveis até que a vulnerabilidade seja resolvida.