Risques
- Déni de service
- Exécution de code arbitraire à distance
Systèmes affectés
Rsync 2.5.6 et versions antérieures.
Description
rsync est un utilitaire qui permet de synchroniser des fichiers entre plusieurs machines.
Une vulnérabilité de type débordement de mémoire présente dans rsync en mode serveur peut être exploitée à distance par un utilisateur mal intentionné afin d'exécuter du code arbitraire sur le serveur vulnérable.
Contournement provisoire
Pour se protéger contre une attaque venant de l'extérieur, il est recommandé de filtrer le port 873/tcp sur les pare-feux.
Solution
Installer la version 2.5.7 de rsync.
Documentation
- Bulletin de sécurité DSA-404 de Debian : http://www.debian.org/security/2003/dsa-404
- Bulletin de sécurité GLSA 200312-03 de Gentoo : http://www.securityfocus.com/advisories/6142
- Bulletin de sécurité MDKSA-2003:111 de Mandrake : http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2003:111
- Bulletin de sécurité RHSA-2003:388 de Red Hat : http://rhn.redhat.com/errata/RHSA-2003-388.html
- Bulletin de sécurité SuSE-SA:2003:50 de SuSE : http://www.suse.com/de/security/2003_50_rsync.html
- Correctifs de sécurité de Sun pour les produits Sun Cobalt Qube 3, RaQ 4 et RaQ 550 : http://ftp.cobalt.sun.com/pub/packages/
- Correctifs de sécurité de Sun pour les produits Sun Cobalt RaQ XTR : http://ftp.cobalt.sun.com/pub/packages/raqxtr/eng/RaQXTR-All-Security-1.0.1-16675.pkg
- Site de rsync : http://rsync.samba.org
