Debian обновляет rsync до 3.5.0 из-за 33 уязвимостей

Сопровождающий пакета rsync в Debian Самуэль Энрике сообщил, что в ветке trixie-security пакет обновлён сразу до версии 3.5.0 — с предыдущей 3.4.1. Причина — необходимость закрыть 33 уязвимости (CVE). По его оценке, поднять версию целиком оказалось менее рискованным решением, чем бэкпортировать каждый патч по отдельности: он проанализировал дополнительные изменения, пришедшие с новой версией, и счёл их безопаснее россыпи ручных правок.

Главное предупреждение адресовано администраторам: обновление меняет поведение, и эти изменения проистекают из самих исправлений, а не из смены версии как таковой. Полный перечень — в NEWS.md.gz, но наиболее вероятные источники поломок перечислены прямо в changelog.

Симлинки больше не в доверии

Ключевое изменение: пути, заданные оператором, больше не разыменовываются через недоверенные символические ссылки. Каталог назначения и аргументы множества опций — от --backup-dir и --temp-dir до --files-from, --exclude-from и файлов слияния фильтров — теперь разрешаются покомпонентно. Симлинк проходится только если принадлежит root или пользователю, запустившему rsync; ссылка чужого владельца отклоняется с сообщением «refusing to follow a symlink owned by an untrusted user». Прежнее поведение возвращает --insecure-links, но оно работает только локально — демон его игнорирует. Для отдельного доверенного модуля вместо этого можно выставить insecure links = yes.

Ограниченный rrsync и права доступа

Обёртка rrsync теперь всегда отклоняет --debug, а при ограничении подкаталогом дополнительно запрещает --copy-unsafe-links и не даёт загрузкам создавать устройства и специальные файлы. Опция --chmod=a+s теперь выставляет оба бита — setuid и setgid, как в chmod(1) (раньше только setuid).

Кто попадёт на демон

Изменился и ряд правил доступа rsyncd, причём так, что меняется круг допущенных. proxy protocol = true без списка proxy protocol hosts теперь отвергает все соединения вместо того, чтобы слепо доверять заголовку PROXY от клиента. hosts deny при неразрешимом имени теперь «падает в закрытое состояние». Правила auth users и сопоставление hosts allow/hosts deny стали строже следовать документации, а --compress-threads ограничен восемью. Наконец, rsync-ssl теперь проверяет сертификат сервера и привязывает его к запрошенному имени хоста.

Источник: Lobsters