rsync 3.5.0 corregge 33 vulnerabilità: aggiornamento importante per Linux e server

rsync 3.5.0, pubblicato nelle scorse ore, è una delle release più importanti per la sicurezza dell’intero progetto: corregge 33 vulnerabilità (1 critica, 17 considerate come “alte” e 15 di rischio medio) emerse durante un audit mirato alla gestione dei percorsi, al protocollo del demone e a una campagna di fuzzing, oltre a introdurre misure di hardening.

Per chi esegue rsync come servizio di rete, per backup o per mirror, l’aggiornamento è da considerare prioritario.

Perché rsync 3.5.0 è un aggiornamento critico

La maggior parte delle nuove CVE riguarda race condition su symlink, traversal di percorsi, scritture fuori dalla directory prevista, bypass dei controlli di accesso, injection di argomenti, corruzione della memoria e denial of service.

Il progetto ha associato a ogni fix un test di regressione, in modo che il comportamento corretto sia verificato automaticamente. Tra le vulnerabilità più rilevanti ci sono CVE-2026-53802, CVE-2026-53803 e altre legate alla gestione di percorsi, regole di filtro, directory implicite e operazioni di rename o hard link.

Una delle correzioni più severe è CVE-2026-53791 (Critical), che riguarda il parametro “proxy protocol = true”. Prima della 3.5.0 un client poteva inviare un header PROXY anche senza passare da un proxy attendibile, falsificando l’indirizzo sorgente e potenzialmente aggirando controlli basati su IP. La nuova versione accetta l’indirizzo inoltrato solo quando la connessione proviene da un peer configurato come proxy attendibile; in assenza di proxy protocol hosts, l’impostazione ora chiude l’accesso.

Come rsync 3.5.0 rafforza la gestione dei percorsi

Una parte consistente delle vulnerabilità nasce da condizioni TOCTOU (time of check to time of use): il programma verifica che un percorso sia all’interno di una directory autorizzata, ma un attaccante modifica nel frattempo uno dei componenti del percorso.

La risposta tecnica è passare, dove possibile, da controlli basati su stringhe a risoluzioni ancorate a file descriptor. Su Linux 5.6+ rsync usa openat2() con RESOLVE_BENEATH e RESOLVE_NO_MAGICLINKS, impedendo al kernel di uscire dall’albero consentito tramite “..”, symlink assoluti o collegamenti speciali.

Questo approccio riduce drasticamente la possibilità che una race condition devii un’operazione verso un inode esterno alla directory autorizzata, soprattutto sui server che eseguono rsync con privilegi elevati. La stessa logica è stata applicata anche a rrsync, lo script wrapper usato per limitare le operazioni di un account SSH: CVE-2026-53783 permetteva di aggirare restrizioni sulla directory autorizzata sfruttando una finestra TOCTOU; la 3.5.0 “pinnia” l’inode verificato e usa il file descriptor per ancorare il percorso passato a rsync.

Protocollo, DoS e cifratura: altre aree toccate

L’audit ha individuato anche problemi nel protocollo rsync: CVE-2026-70461, CVE-2026-70458 e CVE-2026-70456 sono scritture oltre i limiti di memoria nell’heap durante la gestione di regole di filtro, hard link o argomenti ricevuti dal peer. Sono stati introdotti limiti più severi per valori controllati dal peer, come –compress-threads, limitato a otto per una connessione al demone, per evitare che parametri legittimi diventino strumenti per consumare risorse.

Altre correzioni riguardano denial of service senza corruzione della memoria: CVE-2026-70464 permetteva a un peer non autenticato di mantenere occupato un processo del demone inviando lentamente parti del protocollo iniziale; CVE-2026-70453 riguardava un comportamento quadratico nella ricerca degli hash. Anche rsync-ssl è stato rafforzato: CVE-2026-70454 corregge una debolezza nella verifica TLS quando si usa stunnel, richiedendo ora verifica del certificato e corrispondenza del nome host, salvo scelta esplicita di una modalità non sicura.