أصدر مشروع rsync في يناير 2025 الإصدار 3.4.0، وهو إصدار أمني يعالج ست ثغرات اكتشف معظمها فريق أبحاث الثغرات في Google Cloud. وأصلحتها ديبيان لديبيان 12 (bookworm) في النشرة DSA-5843-1 بتاريخ 14 يناير 2025، ثم تبعتها بعد يومين النشرة DSA-5843-2 التي عالجت خللًا ظهر مع الخيار -H. أخطر هذه الثغرات يسمح لعميل بتنفيذ تعليمات برمجية على خادم rsync يستطيع القراءة منه، وأخرى تسمح لخادم خبيث بقراءة الملفات أو كتابتها على أجهزة العملاء المتصلة به.
لمحة سريعة
| البند | التفاصيل |
|---|---|
| الحزمة المصدرية | rsync |
| الإصدارات المُصلَحة | 3.2.7-1+deb12u1 (DSA-5843-1)، ثم 3.2.7-1+deb12u2 (DSA-5843-2 لخلل الروابط الصلبة) |
| ديبيان 11 (bullseye) | النشرتان DLA-4015-1 وDLA-4015-2 في حينه، وقد انتهى دعمها طويل الأمد منذ ذلك الحين |
| ديبيان 13 (trixie) | صدرت لاحقًا بالإصدار rsync 3.4.1 الذي يتضمن هذه الإصلاحات |
| الثغرات | CVE-2024-12084 وCVE-2024-12085 وCVE-2024-12086 وCVE-2024-12087 وCVE-2024-12088 وCVE-2024-12747 |
| الخطورة | حرجة (CVE-2024-12084 بتقييم CVSS 3.1 9.8 من الجهة المصدرة Red Hat) |
| الاستغلال الفعلي | غير مدرجة في CISA KEV (30 أكتوبر 2026)، وتذكر سجلات CISA وجود تفاصيل إثبات مفهوم منشورة |
ما هي الثغرات
توضح مذكرة CERT/CC رقم VU#952657 سبب أهمية هذه المجموعة: فالجمع بين فيض الذاكرة وتسريب المعلومات يسمح لعميل بتنفيذ تعليمات برمجية عشوائية على جهاز يشغّل خادم rsync، ولا يحتاج العميل إلا إلى صلاحية قراءة مجهولة الهوية كما في المرايا العامة. وفي المقابل، يستطيع خادم خبيث قراءة ملفات العملاء المتصلين به وكتابتها، كسرقة مفاتيح SSH أو الكتابة فوق الملف ~/.bashrc.
- ضد خوادم rsync. الثغرة CVE-2024-12084 (بتقييم 9.8) فيض في ذاكرة الكومة سببه أطوال checksum يتحكم بها المهاجم. أما CVE-2024-12085 (بتقييم 7.5) فتسرّب محتوى غير مهيأ من ذاكرة المكدس عبر مقارنة الـ checksum، ما يساعد على تجاوز حماية ASLR.
- ضد العملاء. تسمح CVE-2024-12086 لخادم بتسريب محتوى ملفات عشوائية من جهاز العميل. وتسمح CVE-2024-12087 لخادم بكتابة ملفات خارج المجلد الهدف عبر سلوك
--inc-recursive، بينما تتجاوز CVE-2024-12088 الخيار--safe-linksبروابط رمزية متداخلة. - سباق محلي. الثغرة CVE-2024-12747 حالة سباق في معالجة الروابط الرمزية قد تسرّب معلومات، وتذكر ديبيان أنها قد تتيح رفع الصلاحيات.
هل أنت متأثر؟
كل جهاز عليه حزمة rsync معني بالأمر، لا الخوادم وحدها، فسكربتات النسخ الاحتياطي وأدوات النشر تستخدم عميل rsync. افحص الإصدار وما إذا كانت الخدمة تعمل:
dpkg-query -W -f='${Package} ${Version}\n' rsync
apt policy rsync
systemctl is-active rsyncعلى ديبيان 12، أي إصدار أقدم من 3.2.7-1+deb12u2 ينقصه هذا الإصلاح أو إصلاح الخلل اللاحق، والحزم الأحدث في bookworm تتضمن الاثنين. وإذا كانت الوحدة rsync نشطة فالخدمة تستمع (على منفذ TCP رقم 873 افتراضيًا)، وهي الحالة التي تصفها CERT/CC لتنفيذ التعليمات البرمجية عن بُعد.
طريقة التحديث
sudo apt update
sudo apt install --only-upgrade rsyncإن كنت ثبّتّ الإصلاح الأول في يناير 2025 وواجهت مشكلات في الحفاظ على الروابط الصلبة مع -H، فقد عالجتها الحزمة الثانية (3.2.7-1+deb12u2)، والترقية المعتادة تجلبها. وقد تلقى مستخدمو ديبيان 11 (bullseye) نشرات DLA مماثلة، لكن bullseye خرجت من الدعم طويل الأمد في 31 أغسطس 2026 ولن تصلها إصلاحات rsync بعد ذلك؛ لذا رقِّ تلك الأنظمة.
إعادة تشغيل الخدمة أم الخادم؟
لا حاجة لإعادة تشغيل الخادم. أعد تشغيل الخدمة إن كنت تشغّلها لتستخدم الملف التنفيذي الجديد:
sudo systemctl restart rsyncأما تشغيلات العميل فتستخدم الإصدار الجديد عند بدئها التالي، ومهام المزامنة الطويلة التي بدأت قبل التحديث تبقى على الشيفرة القديمة حتى تنتهي.
قلّل انكشاف خدمة rsync
الوحدات العامة المتاحة دون مصادقة هي السيناريو الذي أبرزته CERT/CC. فإن لم تكن تحتاج الخدمة فعطّلها بالأمر sudo systemctl disable --now rsync واستخدم rsync عبر SSH بدلًا منها. وإن كنت تحتاجها، فاقصر المنفذ 873 على عناوين معروفة في جدار الحماية، واشترط auth users وsecrets file في الملف /etc/rsyncd.conf، واضبط معامل الوحدة read only على القيمة yes حيثما أمكن.
المصادر
- security-tracker.debian.org/tracker/DSA-5843-1
- debian.org/security/2025/dsa-5843
- lists.debian.org/debian-security-announce/2025/msg00004.html
- security-tracker.debian.org/tracker/DSA-5843-2
- lists.debian.org/debian-security-announce/2025/msg00006.html
- security-tracker.debian.org/tracker/DLA-4015-1
- lists.debian.org/debian-lts-announce/2025/01/msg00008.html
- lists.debian.org/debian-lts-announce/2025/01/msg00010.html
- security-tracker.debian.org/tracker/DLA-4015-2
- kb.cert.org/vuls/id/952657
- download.samba.org/pub/rsync/NEWS
- cve.org/CVERecord?id=CVE-2024-12084
- cve.org/CVERecord?id=CVE-2024-12085
- nvd.nist.gov/vuln/detail/CVE-2024-12084
- security-tracker.debian.org/tracker/source-package/rsync
- packages.debian.org/bookworm/amd64/rsync/filelist
- cisa.gov/known-exploited-vulnerabilities-catalog
- debian.org/releases
- manpages.debian.org/bookworm/rsync/rsyncd.conf.5.en.html
Comments
0 total · 0 threads