Разработчики rsync устранили 34 уязвимости безопасности, затрагивающие механизмы синхронизации файлов, обработки путей, разграничения доступа и работы сетевого демона. Некоторые ошибки позволяют злоумышленникам выходить за пределы разрешённых каталогов, получать доступ к чужим файлам, изменять или удалять данные, а при определённых условиях — выполнять произвольный код.
Исправления уже включены в обновления для различных дистрибутивов Linux. В частности, 9 ноября 2026 года крупное обновление rsync появилось в репозитории безопасности Debian 12 (Bookworm).
Всего в ходе масштабного аудита безопасности разработчики выявили 33 уязвимости. Позднее была устранена ещё одна проблема, связанная с возможностью вызвать отказ в обслуживании (DoS) из-за чрезмерной нагрузки на процессор.
Среди наиболее существенных уязвимостей:
Последствия эксплуатации зависят от конкретной уязвимости, конфигурации сервера и предоставленных пользователю прав.
При этом наличие установленного rsync не означает, что система автоматически доступна для удалённой атаки. Многие проблемы проявляются только при использовании определённых настроек или обработке данных от недоверенных источников.
При разрешении некоторых файловых путей rsync теперь дополнительно проверяет владельцев встречающихся символических ссылок. Переход разрешается, если ссылка принадлежит root либо пользователю, от имени которого выполняется процесс.
Если ссылка принадлежит недоверенному пользователю, операция может завершиться ошибкой:
refusing to follow a symlink owned by an untrusted user
Новые ограничения затрагивают пути назначения и параметры --backup-dir, --temp-dir, --partial-dir, --link-dest, --compare-dest, --copy-dest и другие.
Это изменение особенно важно для серверов, где автоматическое резервное копирование выполняется с повышенными привилегиями.
Для восстановления прежнего поведения предусмотрен параметр --insecure-links, однако его использование ослабляет защиту и не рекомендуется без необходимости.
В rsyncd усилены ограничения доступа к каталогам, обработка параметров удалённых подключений и проверка PROXY protocol. При использовании proxy protocol = true теперь требуется явно задавать доверенные источники через proxy protocol hosts.
В rrsync усилена изоляция файловой системы, ограничены потенциально опасные параметры и устранены способы обхода разрешённых каталогов.
В rsync-ssl добавлена обязательная проверка TLS-сертификатов сервера, включая проверку соответствия имени хоста при использовании OpenSSL.
Эти изменения повышают безопасность, но могут повлиять на ранее настроенные подключения и автоматические задания.
Для Debian и Ubuntu обновление можно выполнить следующими командами:
Проверить установленную версию:
Для просмотра версии установленного пакета в Debian и Ubuntu:
Следует учитывать, что версии пакетов могут различаться между дистрибутивами и их выпусками. Некоторые сопровождающие включают исправления безопасности в более старые версии программы без изменения основного номера релиза.
Поэтому при проверке защищённости системы необходимо ориентироваться не только на номер версии rsync, но и на официальные бюллетени безопасности разработчиков дистрибутива.
Особое внимание следует уделить сценариям, которые:
Обновление rsync рекомендуется установить как можно скорее, особенно на серверах резервного копирования и системах, принимающих подключения от внешних клиентов.
При этом отключать новые механизмы защиты ради совместимости со старыми скриптами без предварительной проверки не следует.
Источники:
Исправления уже включены в обновления для различных дистрибутивов Linux. В частности, 9 ноября 2026 года крупное обновление rsync появилось в репозитории безопасности Debian 12 (Bookworm).
Всего в ходе масштабного аудита безопасности разработчики выявили 33 уязвимости. Позднее была устранена ещё одна проблема, связанная с возможностью вызвать отказ в обслуживании (DoS) из-за чрезмерной нагрузки на процессор.
Наиболее опасные уязвимости rsync
Обнаруженные проблемы затрагивают как клиентскую часть rsync, так и серверные компоненты, включая сетевой демон rsyncd и ограниченную оболочку rrsync.Среди наиболее существенных уязвимостей:
- CVE-2026-53783 — обход ограничений rrsync, позволяющий выйти за пределы каталога, выделенного для синхронизации. Проблема связана с состоянием гонки (TOCTOU) и недостаточно строгой проверкой параметров.
- CVE-2026-53784 — возможность выхода за пределы корневого каталога модуля rsync-демона при использовании настройки use chroot = no.
- CVE-2026-53785 — создание каталогов за пределами целевого дерева при обработке относительных путей с параметром --relative.
- CVE-2026-53789 — расширение области удаления файлов при синхронизации с недоверенным отправителем. Особую опасность представляет использование параметра --delete.
- CVE-2026-53790 — инъекция команд или аргументов из-за недостаточного экранирования значений, контролируемых удалённой стороной.
- CVE-2026-53791 — подмена IP-адреса клиента при использовании PROXY protocol, потенциально позволяющая обходить ограничения доступа rsync-демона.
- CVE-2026-53802 и CVE-2026-53803 — ошибки обработки символических ссылок, способные привести к чтению или перезаписи произвольных файлов и повышению привилегий.
- CVE-2026-70454 — отсутствие надлежащей проверки TLS-сертификатов в rsync-ssl, создающее условия для атак типа «человек посередине» (MITM).
- CVE-2026-119741 — возможность истощения ресурсов процессора при обработке специально сформированных контрольных сумм. Атака на публичный rsync-демон может привести к отказу в обслуживании.
Последствия эксплуатации зависят от конкретной уязвимости, конфигурации сервера и предоставленных пользователю прав.
При этом наличие установленного rsync не означает, что система автоматически доступна для удалённой атаки. Многие проблемы проявляются только при использовании определённых настроек или обработке данных от недоверенных источников.
Усилена защита от атак через символические ссылки
Одно из наиболее заметных изменений безопасности касается обработки символических ссылок (symlink).При разрешении некоторых файловых путей rsync теперь дополнительно проверяет владельцев встречающихся символических ссылок. Переход разрешается, если ссылка принадлежит root либо пользователю, от имени которого выполняется процесс.
Если ссылка принадлежит недоверенному пользователю, операция может завершиться ошибкой:
refusing to follow a symlink owned by an untrusted user
Новые ограничения затрагивают пути назначения и параметры --backup-dir, --temp-dir, --partial-dir, --link-dest, --compare-dest, --copy-dest и другие.
Это изменение особенно важно для серверов, где автоматическое резервное копирование выполняется с повышенными привилегиями.
Для восстановления прежнего поведения предусмотрен параметр --insecure-links, однако его использование ослабляет защиту и не рекомендуется без необходимости.
Изменения в rsyncd, rrsync и rsync-ssl
Помимо исправления уязвимостей, разработчики ужесточили ряд механизмов безопасности.В rsyncd усилены ограничения доступа к каталогам, обработка параметров удалённых подключений и проверка PROXY protocol. При использовании proxy protocol = true теперь требуется явно задавать доверенные источники через proxy protocol hosts.
В rrsync усилена изоляция файловой системы, ограничены потенциально опасные параметры и устранены способы обхода разрешённых каталогов.
В rsync-ssl добавлена обязательная проверка TLS-сертификатов сервера, включая проверку соответствия имени хоста при использовании OpenSSL.
Эти изменения повышают безопасность, но могут повлиять на ранее настроенные подключения и автоматические задания.
Как обновить rsync
Администраторам рекомендуется установить последнюю актуальную версию rsync с исправлениями безопасности, доступную для используемого дистрибутива Linux.Для Debian и Ubuntu обновление можно выполнить следующими командами:
Код:
sudo apt update
sudo apt install --only-upgrade rsyncrsync --versionДля просмотра версии установленного пакета в Debian и Ubuntu:
dpkg-query -W rsyncСледует учитывать, что версии пакетов могут различаться между дистрибутивами и их выпусками. Некоторые сопровождающие включают исправления безопасности в более старые версии программы без изменения основного номера релиза.
Поэтому при проверке защищённости системы необходимо ориентироваться не только на номер версии rsync, но и на официальные бюллетени безопасности разработчиков дистрибутива.
Что проверить после обновления
Из-за изменений в обработке путей и символических ссылок рекомендуется проверить существующие задания синхронизации и резервного копирования.Особое внимание следует уделить сценариям, которые:
- выполняются от имени root;
- используют символические ссылки в каталогах назначения;
- применяют параметры --delete, --relative или --link-dest;
- работают через ограниченную оболочку rrsync;
- используют сетевой демон rsyncd или защищённые подключения через rsync-ssl.
Обновление rsync рекомендуется установить как можно скорее, особенно на серверах резервного копирования и системах, принимающих подключения от внешних клиентов.
При этом отключать новые механизмы защиты ради совместимости со старыми скриптами без предварительной проверки не следует.
Источники: