Actualizare majoră rsync în Debian din cauza a 33 de CVE-uri

Debian a lansat o actualizare substanțială pentru utilitarul rsync, trecând la versiunea 3.5.0+ds1-0+deb13u1 în repository-ul Trixie-Security. Această decizie a fost luată pentru a remedia un număr semnificativ de 33 de vulnerabilități comune (CVE-uri), prin actualizarea pachetului la o nouă versiune majoră, în loc să aplice individual fiecare patch. Menținătorul a evaluat că această abordare prezintă un risc mai mic decât aplicarea numeroaselor patch-uri individuale, în ciuda potențialelor modificări de comportament.

Actualizarea introduce mai multe modificări de comportament legate direct de remedierea problemelor de securitate, detaliate în fișierul `/usr/share/doc/rsync/NEWS.md.gz`. Printre schimbările cheie se numără o gestionare mai strictă a căilor furnizate de operator prin symlink-uri nesigure, rsync rezolvând acum căile componentă cu componentă și refuzând să urmeze symlink-uri care nu sunt deținute de root sau de utilizatorul care rulează, cu excepția cazului în care este utilizată opțiunea `--insecure-links`. Utilitarul `rrsync` are, de asemenea, măsuri de securitate mai stricte, refuzând `--debug` și limitând operațiunile în cadrul unui director specificat.

Alte ajustări tehnice afectează opțiuni precum `--chmod=a+s`, care acum setează corect biții setuid și setgid. Modificările rsyncd server includ o gestionare mai strictă a protocoalelor proxy și a regulilor de acces la gazde, cu o securitate îmbunătățită pentru numele de gazde nerezolvate și potrivirea modelelor insensibilă la majuscule. În plus, `--compress-threads` solicitat de client este limitat la 8, iar `rsync-ssl` impune acum verificarea certificatului serverului, legându-l de numele gazdei solicitate pentru o securitate sporită.