rsync übers Netz verwundbar

Das Softwarepaket rsync enthält einen Heap-Overflow, der sich übers Netz ausnutzen lässt. rsync dient dazu, Dateien übers Netz gegen einen Server abzugleichen, der Fehler betrifft nur den Server-Betrieb der Software.

In ihrem Advisory weisen die Entwickler darauf hin, dass über diesen Fehler in einen öffentlichen rsync-Server eingebrochen wurde -- gemeint ist wohl das Gentoo-System, das gestern kompromittiert wurde. Der Einbruch sei durch eine Nicht-Standard-Konfiguration, in der der chroot-Mechanismus abgeschaltet war (use chroot = no) wesentlich erleichtert worden. Des Weiteren ermögliche dieser Heap Overflow keinen Zugriff mit Root-Rechten, dazu sei vermutlich nachträglich das do_brk-Loch im Linux-Kernel ausgenutzt worden. In der rsync-Version 2.5.7 ist der Fehler beseitigt, die Entwickler empfehlen allen Nutzern dringend, auf diese Version umzusteigen.

Siehe dazu auch: (ju)

• Security Advisory des rsync-Teams