S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 17 août 2004
N° CERTA-2004-AVI-271-003
Affaire suivie par: CERT-FR
le 17 août 2004

Avis du CERT-FR

Objet: Vulnérabilité de rsync

Gestion du document

Référence CERTA-2004-AVI-271-003
Titre Vulnérabilité de rsync
Date de la première version 17 août 2004
Date de la dernière version 02 septembre 2004
Source(s) Avis de sécurité rsync
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Atteinte à la confidentialité des données.

Systèmes affectés

rsync versions 2.6.2 et antérieures.

Résumé

Une vulnérabilité de rsync permet à un utilisateur mal intentionné d'accéder à n'importe quel fichier de la machine.

Description

rsync est un utilitaire utilisé pour la copie de fichiers.

Une vulnérabilité a été découverte dans rsync, et permet à un utilisateur mal intentionné d'accéder à des fichiers situés en dehors du répertoire de base.

Pour exploiter cette vulnérabilité, il faut que rsync soit lancé en modedémon et sans "chroot".

Contournement provisoire

  • Ne pas lancer rsync en modedémon ;
  • utiliser un "chroot".

Solution

La version 2.6.3pre1 corrige cette vulnérabilité. Se référer au bulletin de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 17 août 2004
    version initiale.
    le 19 août 2004
    ajout des références aux bulletins de sécurité Gentoo et Mandrake, et ajout référence CVE.
    le 30 août 2004
    ajout des références aux bulletins de sécurité FreeBSD et NetBSD.
    le 02 septembre 2004
    ajout de la référence au bulletin de sécurité RedHat.