Vom weit verbreiteten Synchronisations- und Backup-Werkzeug rsync ist am 13. August 2026 Version 3.5 erschienen – ein außergewöhnliches Update, das auf einen Schlag 33 Sicherheitslücken behebt. Wer rsync einsetzt, besonders als Daemon, sollte zeitnah aktualisieren.
Die kritische Lücke
Als kritisch eingestuft ist CVE-2026-53791: Sie betrifft rsync-Daemons, die mit proxy protocol = true konfiguriert sind. Ein Client, der sich direkt statt über den vorgesehenen vertrauenswürdigen Proxy verbindet, konnte einen eigenen PROXY-Header senden und so seine Quell-IP-Adresse fälschen.
Symlinks und Pfad-Beschränkung
Ein großer Teil der übrigen – teils hochstufigen – Korrekturen dreht sich um die Behandlung von symbolischen Links und die Beschränkung auf zulässige Pfade. Mehrere dieser Lücken hätten es Angreifern ermöglichen können, rsync-Operationen aus den vorgesehenen Verzeichnissen umzulenken.
Zusätzlich werden Steuerzeichen in Dateinamen nun vor dem Schreiben ins Log escaped, was Terminal- und Log-Injection verhindert. Und rsync-ssl prüft bei der Nutzung von stunnel jetzt Zertifikat und Hostname korrekt. Die Fixes stammen aus einem gezielten Audit der Pfad-Verarbeitung und des Daemon-Protokolls, einem begleitenden Fuzzing-Durchlauf sowie Meldungen externer Forscher.
