Noticias relacionadas
Otras noticias
Más noticias
En el foro
Ir al foro de Seguridad
VULNERABILIDADES

Vulnerabilidad en Rsync

Se ha descubierto una vulnerabilidad en rsync cuando se ejecuta en modo daemon con chroot desactivado. Un usuario remoto podría leer o escribir archivos del sistema blanco del ataque que están localizados fuera de la dirección determinada por el módulo.

25 Ago 2004 | HISPASEC
R

SYNC es una excepcional herramienta de sincronización de ficheros, que permite que un cliente y un servidor se mantengan sincronizados sin enviar los ficheros modificados y sin que sea necesario mantener un histórico de cambios. Se trata de una herramienta extraordinariamente útil.

 

Un usuario remoto puede enviar un path especialmente creado a tal efecto de tal manera que la función que limpia esas entradas genera un nombre de archivo absoluto en vez de uno relativo. El error reside en la función sanitize_path(). La explotación con éxito de esta técnica permitiría a un atacante leer o escribir archivos en el sistema con los permisos del demonio rsync.

Se dispone de un parche de actualización vía CVS, y se ha publicado la versión 2.6.3pre1 que, entre otros, corrige este problema junto con la incorporación de nuevas características y que está disponible en la dirección http://rsync.samba.org/download.html  


Más Información:

August 2004 Security Advisory
http://rsync.samba.org/#security_aug04

RYSNC
http://rsync.samba.org/

Boletín

Si quieres recibir cada semana las noticias más interesantes suscríbete a nuestro boletín.

Comentarios
LaFlecha.net no se hace responsable del contenido de los comentarios publicados.
#1 | 25 Ago 2004, 23:30
Angelv

2004-08-19 FEDORA-2004-269 rsync-2.6.2-1.fc2.0 [SECURITY]

Esto es lo que me gusta de GNU/LINUX, la comunidad SI se preocupa por la seguridad, no como Mocosoft (Tm) con su Winbug$ (Tm) y su porqueria de Internet Exploter... que las soluciones, si es que les da la gana de sacarlas... se demoran hasta 2 años o mas...

para muestra este link

www.damia.net/ieno

(solo afecta a I.E)

Esta abierto desde el 2002 y no creo que lo piensen solucionar...

En el Software Libre, si se descubre una vulnerabilidad, se soluciona en cuestion de horas o dias y es antes de que se detecten sistemas afectados...

Pero en el Software Privado, solo luego de que millones de personas son afectadas y pierden millones de dolares, es que piensan en solucionarlo y esto solo cuando son presionados por los usuarios de sus productos.

Blaster, Codigo Rojo, etc.....

La lista es muy grande....

Y tu? hasta donde piensas aguantar hoy...

Linux Pride

#2 | 30 Mar 2006, 13:51
Tolay

Y lo mejor es que encima cobran por esa mierda de OS que tienen... suerte que casi nadie les paga...

Entérate de cuándo hay nuevos comentarios

No se permitirán los comentarios que :
- puedan resultar ofensivos o injuriosos
- incluyan insultos, alusiones sexuales innecesarias y palabras soeces o vulgares
- apoyen la pedofilia, el terrorismo o la xenofobia

Autor
Comentario
BBCode (Ayuda): [b], [i], [quote], [code]
Publicidad
Ahora en LaFlecha puedes encontrar cursos y másters