GLSA 200605-05: rsync: Potential integer overflow

http://security.gentoo.org/

Опасность:	высокая
Заголовок:	rsync: Potential integer overflow
Дата:	06.05.2006
Ошибки:	#131631
ID:	200605-05

Сводка

An attacker having write access to an rsync module might be able to execute arbitrary code on an rsync server.

Назначение

rsync is a server and client utility that provides fast incremental file transfers. It is used to efficiently synchronize files between hosts and is used by emerge to fetch Gentoo's Portage tree.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
net-misc/rsync	< 2.6.8	>= 2.6.8	All supported architectures

Описание

An integer overflow was found in the receive_xattr function from the extended attributes patch (xattr.c) for rsync. The vulnerable function is only present when the "acl" USE flag is set.

Воздействие

A remote attacker with write access to an rsync module could craft malicious extended attributes which would trigger the integer overflow, potentially resulting in the execution of arbitrary code with the rights of the rsync daemon.

Обход

Do not provide write access to an rsync module to untrusted parties.

Решение

All rsync users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=net-misc/rsync-2.6.8"

Ссылки

CVE-2006-2083

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200605-05.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.