「rsync 3.5.0」リリース ─ 33件の脆弱性を修正

　rsync Projectは8月13日(現地時間)、ファイル同期・転送ツール「rsync 3.5.0」をリリースした。

　「rsync」は、ローカルまたはネットワーク上のシステム間でファイルやディレクトリを同期するオープンソースのツール。ファイル全体ではなく変更された部分を転送する差分転送アルゴリズムを採用しており、バックアップ、ミラーリング、サーバ間のデータ同期などで広く利用されている。

　「rsync 3.5.0」は、パス処理およびデーモンプロトコルに対する集中的な監査、デーモンプロトコルのファジング、外部研究者からの報告などを基に、33件の脆弱性を修正したセキュリティリリース。内訳はCRITICALが1件、HIGHが17件、MEDIUMが15件となる。すべての修正には、未修正版で失敗する回帰テストが追加されている。

　「rsync 3.5.0」のハイライトは次の通り。

〇PROXY Protocolの送信元アドレス偽装によるアクセス制御回避(CRITICAL、CVE-2026-53791)
〇シンボリックリンクを利用した入力ファイルの読み取りおよび転送内容の操作(HIGH、CVE-2026-53802)
〇シンボリックリンクを利用した任意ファイル書き込みおよび権限昇格(HIGH、CVE-2026-53803)
〇「--relative」での暗黙的な親ディレクトリ作成による転送先外への書き込み(HIGH、CVE-2026-53785)
〇「use chroot = no」環境でのデーモンモジュールルートからの脱出(HIGH、CVE-2026-53784)
〇chroot内の「/./」を使用したモジュール外への脱出(HIGH、CVE-2026-53793)
〇絶対パスの「--temp-dir」「--link-dest」による転送先の制限回避(HIGH、CVE-2026-53795)
〇制限付きSSHラッパー「rrsync」の制限ディレクトリからの脱出(HIGH、CVE-2026-53783)
〇ホストまたは接続先から制御可能な値によるコマンドおよび引数インジェクション(HIGH、CVE-2026-53790)
〇フィルタルール処理における1バイトのヒープ境界外書き込み(HIGH、CVE-2026-70461)
〇ハードリンク情報の処理における境界外書き込み(HIGH、CVE-2026-70458)
〇引数配列の終端処理におけるヒープ境界外書き込み(HIGH、CVE-2026-70456)
〇認証前の低速なデータ送信によるデーモン接続枯渇(HIGH、CVE-2026-70464)
〇「--compress-threads」による大量のZstandardワーカースレッド生成(HIGH、CVE-2026-70455)
〇細工した弱チェックサムによる二次関数的なCPU使用量の増加(HIGH、CVE-2026-70453)
〇名前解決に失敗した「hosts deny」項目が許可として扱われる問題(HIGH、CVE-2026-70452)
〇空白を含むグループ名に対する「auth users」のアクセス制御回避(HIGH、CVE-2026-70463)
〇「--partial-dir」「--backup-dir」によるデーモンモジュール外へのファイル配置(HIGH、CVE-2026-70460)
など。

　最も深刻度が高い「CVE-2026-53791」は、「proxy protocol = true」を設定したrsyncデーモンに直接接続したクライアントがPROXYヘッダを送信し、送信元アドレスを偽装できる脆弱性。悪用されると、ホストベースのアクセス制御を回避される危険がある。

　また、今回のアップデートによって、転送された送信元アドレスを「proxy protocol hosts」で設定された信頼済みプロキシから受信した場合にのみ使用するよう変更された。また、「proxy protocol = true」を有効にしながら「proxy protocol hosts」が設定されていない場合は、すべての接続が拒否される。

　「rsync 3.5.0」は、Webサイトから入手できる。

(川原 龍人/びぎねっと)

[関連リンク]
NEWS for rsync 3.5.0