Ene
28

28/01/2002 Actualización de seguridad para RSYNC

Las versiones de RSYNC previas a la 2.5.2 contienen diversos fallos de
seguridad que permiten, si las circunstancias son propicias, que un
atacante ejecute código arbitrario tanto en el servidor como en el
cliente RSYNC.
RSYNC es una excepcional herramienta de sincronización de ficheros, que
permite que un cliente y un servidor se mantengan sincronizados sin
enviar los ficheros cambiados y sin que sea necesario mantener un
histórico de cambios. Se trata de una herramienta extraordinariamente
útil.

Las versiones de RSYNC previas a la 2.5.2 contiene varias
vulnerabilidades en la lectura de números enteros provenientes de la
red, lo que puede permitir la corrupción de memoria del proceso y, si la
corrupción está especialmente diseñada, permitir la ejecución de código
en la máquina de la víctima.

Aunque los servidores RSYNC son los más vulnerables, ya que pueden
sufrir ataques por parte de clientes maliciosos, sobre todo porque
existen servidores RSYNC que permiten el acceso anónimo (por ejemplo, el
servidor que hospeda http://www.kernel.org/, distribuidor oficial del
kernel Linux), las vulnerabilidades también pueden ser explotadas en los
clientes, si se conectan a servidores RSYNC maliciosos.

Se recomienda actualizar cuanto antes a la versión 2.5.2 de RSYNC. Si
ello no es posible por problemas de compatibilidad, hay actualizaciones
disponibles para las versiones 2.4.x y 2.3.x, también.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldiacom.asp?id=1191

Más Información:

RSYNC
http://rsync.samba.org/

Jesús Cea Avión