30秒で判断
- 対応すべき人: rsync を利用してファイル同期・転送を行うサーバやクライアントの運用者、特に不特定の相手とrsync通信を行う環境
- 対応不要な人: rsync を利用していない環境、または既に修正版へ更新済みの環境
- 確認方法:
rsync --versionやディストリのパッケージマネージャで rsync のバージョンを確認します
概要
rsync には、ファイルチェックサムを比較する際に発生しうる欠陥があります。攻撃者がチェックサム長（s2length）を操作することで、チェックサムと未初期化メモリとの比較を引き起こせます。
この結果、未初期化のスタックデータが1バイトずつ漏えいするおそれがあります。漏えいした情報が、他の攻撃の足がかりとして悪用される可能性があります。rsync は広く利用されているため、影響範囲は広範に及びます。
対策として、各ディストリビューションが提供する修正済みパッケージへ更新することが推奨されます。修正版のバージョンはディストリのアドバイザリを参照してください。
CVSSベクトル
| 指標 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | High |
| Privileges Required | None |
| User Interaction | None |
| CVSSスコア | 7.5 (High) |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| rsync | 修正版はディストリ参照 |
修正バージョンと回避策
- 対策: 各ディストリビューションのセキュリティアドバイザリ（RHSA等）に従い、rsync パッケージを修正版へ更新します。信頼できない相手とのrsync通信は避けてください。
関連リンク
データソース: NVD (NIST), Red Hat Security Advisory AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。