نشرت ديبيان في 28 سبتمبر 2026 النشرة DSA-6527-1، التي تنقل الحزمة rsync في ديبيان 13 (trixie) إلى الإصدار الأصلي 3.5.0. يعالج هذا الإصدار 33 مشكلة أمنية كشفتها مراجعة لطريقة تعامل rsync مع المسارات ولبروتوكول الخدمة (daemon). وقبل ذلك، في 20 مايو 2026، أصلحت النشرة DSA-6282-1 مجموعة أصغر لديبيان 12 و13 معًا. أما ديبيان 12 (bookworm) فلم تتلقَّ إصلاحات سبتمبر بعد.
لمحة سريعة
| الإصدار | الحد الأدنى المطلوب | النشرة | حالة ثغرات سبتمبر الـ 33 |
|---|---|---|---|
| ديبيان 13 (trixie) | 3.5.0+ds1-0+deb13u1 | DSA-6527-1 (28 سبتمبر 2026) | مُصلَحة |
| ديبيان 12 (bookworm) | 3.2.7-1+deb12u5 | DSA-6282-1 (20 مايو 2026) | مدرجة كمفتوحة في متتبع ديبيان في 31 أكتوبر 2026 |
الخطورة: حرجة وفق تصنيف مشروع rsync نفسه للثغرة CVE-2026-53791، وهي لا تنطبق إلا على الخدمات المضبوطة بالإعداد proxy protocol = true، أما معظم الثغرات الأخرى فمصنفة عالية أو متوسطة. ولا توجد أي منها في قائمة CISA للثغرات المستغلة فعليًا (30 أكتوبر 2026).
ما هي الثغرات
تقول ديبيان إن ثغرات سبتمبر قد تؤدي إلى رفع الصلاحيات محليًا، أو تجاوز قيود الوصول، أو كشف معلومات، أو حجب الخدمة، أو تنفيذ تعليمات برمجية عشوائية، وتحيل إلى ملف NEWS للإصدار 3.5.0 للتفاصيل. وتجمعها ملاحظات المشروع الأصلي على النحو التالي:
- اتباع الروابط الرمزية من rsync بصلاحيات عالية. مستخدم محلي يتحكم في جزء من مسار يزرع رابطًا رمزيًا يتبعه rsync العامل بصلاحيات root. الثغرة CVE-2026-53803 (عالية) قد تعيد توجيه الكتابة في ملفات مثل
--log-fileأو ملفات الدفعات، كأن تُضاف أسطر إلىauthorized_keys، والثغرة CVE-2026-53802 (عالية) قد تقرأ ملفًا عشوائيًا عبر ملفات الفلترة أو قوائم الملفات أو ملفات كلمات المرور. - التحكم في الوصول إلى الخدمة. تسمح CVE-2026-53791 (حرجة) لعميل بانتحال عنوانه المصدر عبر ترويسة PROXY عند ضبط
proxy protocol = true. وتجعل CVE-2026-70452 قاعدةhosts denyتسمح بالمرور حين يتعذر حل اسم مضيف مدرج فيها، أما CVE-2026-53784 فهروب من جذر الوحدة عند ضبطuse chroot = no. - الحقن وسلامة الذاكرة. تشمل CVE-2026-53790 حقن أوامر أو معاملات عبر قيم غير مقتبسة يتحكم بها المضيف أو الطرف الآخر في
RSYNC_CONNECT_PROGوخطافات التنفيذ في الخدمة وأداة rsync-ssl، إضافة إلى عدة حالات كتابة خارج حدود الذاكرة قد توقف الخدمة أو تفسد ذاكرتها. - التوافر. تسمح CVE-2026-70464 لطرف غير مصادَق بإبقاء اتصالات الخدمة مفتوحة متجاوزًا الحد
max connections. - rrsync. الثغرة CVE-2026-53783 هروب من المجلد المقيّد في
rrsync، وهو الغلاف المستخدم كثيرًا مع حسابات النسخ الاحتياطي عبر SSH.
أما تحديث مايو (DSA-6282-1) فأصلح من بين ما أصلحه CVE-2026-43618، وهي فيض في الأعداد الصحيحة قد يسرّب ذاكرة العملية إلى طرف مصادَق في الخدمة، وحالات سباق الروابط الرمزية في الخدمات المضبوطة بالإعداد use chroot = no (CVE-2026-29518 وCVE-2026-43619). وتذكر ملاحظات المشروع أن الإعداد الافتراضي use chroot = yes غير معرّض لتلك الحالات.
هل أنت متأثر؟
apt policy rsync
systemctl is-active rsync
grep -nE 'use chroot|proxy protocol|hosts (allow|deny)' /etc/rsyncd.confينبغي تحديث كل جهاز مثبّت عليه rsync، لكن معظم هذه الثغرات يؤثر في الخدمة، ومهام النسخ الاحتياطي التي تعمل بصلاحيات root، وحسابات rrsync.
طريقة التحديث
sudo apt update
sudo apt install --only-upgrade rsyncعلى ديبيان 13 يثبّت هذا الإصدار 3.5.0، ويذكر ملف NEWS تغييرات في السلوك تستحق الاختبار في سكربتات النسخ الاحتياطي: لا يُتبع مجلد الوجهة إذا كان رابطًا رمزيًا إلا إن كان الرابط مملوكًا لـ root أو للمستخدم المشغّل (والخيار --insecure-links يعيد السلوك القديم)، والإعداد proxy protocol = true دون proxy protocol hosts صار يرفض كل الاتصالات.
إعادة تشغيل الخدمة أم الخادم؟
لا حاجة لإعادة تشغيل الخادم. أعد تشغيل الخدمة حيث تعمل:
sudo systemctl restart rsyncأما المهام المجدولة فتستخدم الملف التنفيذي الجديد في تشغيلها التالي.
ديبيان 12 إلى أن يصل الإصلاح
أصبح bookworm في عهدة فريق الدعم طويل الأمد، والمتتبع يعرض ثغرات سبتمبر كمفتوحة فيه. وإلى أن تصدر نشرة DLA، قلّل الانكشاف: أبقِ الخدمة بعيدة عن الإنترنت أو معطّلة (sudo systemctl disable --now rsync)، واحتفظ بالإعداد الافتراضي use chroot = yes، واستخدم عناوين IP بدلًا من أسماء المضيفين في hosts allow وhosts deny، وتجنب تشغيل rsync بصلاحيات root على مجلدات يستطيع مستخدمون آخرون الكتابة فيها.
المصادر
- security-tracker.debian.org/tracker/DSA-6527-1
- debian.org/security/2026/dsa-6527
- lists.debian.org/debian-security-announce/2026/msg00440.html
- security-tracker.debian.org/tracker/DSA-6282-1
- debian.org/security/2026/dsa-6282
- lists.debian.org/debian-security-announce/2026/msg00193.html
- security-tracker.debian.org/tracker/source-package/rsync
- download.samba.org/pub/rsync/NEWS
- cve.org/CVERecord?id=CVE-2026-53791
- cve.org/CVERecord?id=CVE-2026-53790
- cve.org/CVERecord?id=CVE-2026-53803
- cve.org/CVERecord?id=CVE-2026-70452
- cve.org/CVERecord?id=CVE-2026-43618
- manpages.debian.org/bookworm/rsync/rsyncd.conf.5.en.html
- wiki.debian.org/LTS
- cisa.gov/known-exploited-vulnerabilities-catalog
Comments
0 total · 0 threads