CVE-2024-12084 (CVSS 9.8) – Code Execution Risk: Rsync Vulnerability Demands Immediate Patching
2025/01/14 SecurityOnline — 広く利用されるファイル同期ツール Rsync の、バージョン 3.3.0 以下に影響を及ぼす、６件の脆弱性が明らかにされた。一連の脆弱性は、ヒープバッファ・オーバーフローからシンボリック・リンク競合状態に至るものであり、ユーザーに重大なリスクをもたらすとされる。具体的には、それらの悪用に成功した攻撃者は、任意のコード実行／機密情報の漏洩に加えて、影響を受けるシステムの制御を奪う可能性を手にする。
発見された脆弱性は、以下のとおりである：
CVE-2024-12084 (CVSS：9.8)：Rsync デーモンのヒープバッファ・オーバーフローの脆弱性。この脆弱性の悪用に成功した攻撃者は、境界外の書き込みを達成し、コード実行を引き起こす可能性を手にする。
CVE-2024-12085 (CVSS：7.5)：初期化されていないメモリにアクセスする攻撃者により、機密データの漏洩が引き起こされる可能性がある。
CVE-2024-12086 (CVSS：6.1)：悪意のサーバによる、クライアントからの任意のファイル抽出が可能になるファイル・リークの脆弱性。
CVE-2024-12087 (CVSS：6.5)：外部ディレクトリへの、ファイル書き込みの脆弱性。攻撃者が意図した悪意のディスティネーション・ディレクトリに、ファイルが書き込まれる恐れがある。
CVE-2024-12088 (CVSS：6.5)：パス トラバーサルや任意のファイル書き込みにつながる可能性のある、”–safe-links” バイパスの脆弱性。
CVE-2024-12747 (CVSS：5.6)：権限昇格を可能にする、シンボリック・リンク競合状態の脆弱性。
Rsync は、バックアップ・プログラムのコア・コンポーネントでもあり、Rclone／DeltaCopy／ChronoSync などで利用されている。また、パブリック・ミラーのデーモン・モードでも多用されるため、これらのサービスに依存している組織や個人は、この脆弱性による深刻な影響を被る。
たとえば、ヒープバッファ・オーバーフローと情報漏洩の脆弱性の組み合わせにより、脆弱なサーバ上での任意のコード実行の可能性を、攻撃者は手にする。さらに、これらの欠陥を悪用する脅威アクターのサーバが、接続されているクライアント上の任意のファイルを読書し、SSH キーなどの機密データを危険にさらす可能性も生じる。
ユーザーに対して強く推奨されるのは、Rsync の最新パッチ適用バージョンへと、ただちに更新することだ。このパッチは、公式の Rsync Web サイトおよび、Samba プロジェクト Web サイトで入手できる。また、Rsync をバックエンドとして使用するソフトウェアが更新され、これらの脆弱性への対処が完了していることも確認すべきである。
クラウドへの依存度が高まっていますが、手元に置きながら共有したいファイルは、このような同期ソフトウェアでシンクロさせるようになります。この種のソフトウェアを利用するユーザーさんは多いのではないかと思います。Rsync に限らず、アップデートには気をつけたいですね。
IoT OT Security News 
You must be logged in to post a comment.