CVE-2026-53797
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
rsync przed wersją 3.5.0 zawiera podatność na wyścig z dowiązaniami symbolicznymi w przemierzaniu drzewa źródłowego nadawcy, umożliwiającą atakującemu, który może manipulować katalogiem nadrzędnym drzewa źródłowego, przekierowanie odczytów plików do nieprzeznaczonych ścieżek. Atakujący mogą atomowo podmienić składnik katalogu nadrzędnego na dowiązanie symboliczne wskazujące poza katalog główny źródła między rozwiązywaniem ścieżki a operacjami otwierania pliku, aby ujawnić zawartość plików spoza zamierzonego katalogu głównego transferu.
Ocena ryzyka
Może dojść do ujawnienia zawartości plików spoza zamierzonego katalogu źródłowego, co może naruszyć poufność danych.
Rekomendacja
Zaktualizuj rsync do wersji 3.5.0 lub nowszej, która zawiera poprawkę, oraz zabezpiecz katalogi źródłowe przed manipulacją przez nieautoryzowanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
rsync before 3.5.0 contains a symlink race condition vulnerability in the sender's source tree traversal that allows an attacker who can manipulate a parent directory of the source tree to redirect file reads to unintended paths. Attackers can atomically replace a parent directory component with a symlink pointing outside the source root between path resolution and file open operations to disclose file contents outside the intended transfer root.