https://www.opennet.ru/openforum/vsluhforumID3/128120.html В rsync, утилите для синхронизации файлов и резервного копирования, выявлена уязвимость (CVE-2022-29154), позволяющая при обращении к rsync-серверу, подконтрольному злоумышленнику, записать или перезаписать произвольные файлы в целевом каталоге на стороне пользователя. Потенциально атака также может быть совершена в результате вмешательства (MITM) в транзитный трафик между клиентом и легитимным сервером. Проблема устранена в тестовом выпуске Rsync 3.2.5pre1...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=57587<br> https://www.opennet.ru/openforum/vsluhforumID3/128120.html#36 Fri, 12 Aug 2022 10:00:44 GMT Значит, зависит от дитсриба. У меня везде через ССШ, хотя я не задавал это явно.<br> https://www.opennet.ru/openforum/vsluhforumID3/128120.html#35 Mon, 08 Aug 2022 19:12:38 GMT замени на исправленную<br> https://www.opennet.ru/openforum/vsluhforumID3/128120.html#34 Sat, 06 Aug 2022 14:24:25 GMT чет дебиан долго реагирует, исправленая версия есть а в апдейтах ничего не прилетало.<br> https://www.opennet.ru/openforum/vsluhforumID3/128120.html#33 Fri, 05 Aug 2022 04:46:08 GMT &gt; Правильно, пусть лучше боты займутся брутом ssh. Что они и делают, оптом. <br><br>Не додумался порт перекинуть на что-нибудь подальше от 22?<br><br> https://www.opennet.ru/openforum/vsluhforumID3/128120.html#32 Thu, 04 Aug 2022 18:27:11 GMT <br>&gt; Что, твой сервер с 873 портом открытым в инете торчит?<br><br>уязвимость из новости к транспорту никакого отношения не имеет<br><br>rsyncd для того и придуман, чтобы (сюрприз) торчать открытым портом в сеть, локалхост или ssl прокси.<br><br>а сам rsync не имеет никакого отношения к шифрованию трафика. хорошо хоть пароли хешируют.<br> <br><br> https://www.opennet.ru/openforum/vsluhforumID3/128120.html#31 Thu, 04 Aug 2022 13:11:33 GMT Правильно, пусть лучше боты займутся брутом ssh. Что они и делают, оптом.<br> https://www.opennet.ru/openforum/vsluhforumID3/128120.html#30 Thu, 04 Aug 2022 13:10:37 GMT Злые праводеры банят SMB в интернете.<br> https://www.opennet.ru/openforum/vsluhforumID3/128120.html#29 Thu, 04 Aug 2022 13:03:43 GMT По задумке пакетный менеджер доверяет не хосту а майнтайнерам и их подписям. Всего лишь кривое зеркало или MITM должны вызвать сбой проверки подписей и отказ ставить пакет. Иначе это уже CVE в их пакетном менеджере.<br> https://www.opennet.ru/openforum/vsluhforumID3/128120.html#28 Thu, 04 Aug 2022 12:40:38 GMT А верифицированные подписи мейнтейнеров ты как получаешь? rsync'ом? То есть мужик зеркала может влезть в середину, подсунуть тебе сначала фальсифицированные подписи, а потом фальсифицированные пакеты, которые этим подписям удовлетворяют.<br><br>То есть, я не знаю, как там debian эти подписи распространяет, может и не rsync'ом. Но если дебиан неудачный пример, то вот тебе другой: Gentoo вытягивает сорцы wget'ом, git'ом или чем там, по ситуации. Возможно и rsync'ом может, но я не замечал за ним такого. А вот портажи со всеми манифестами и подписями оно тянет rsync'ом. По дефолту, по-крайней мере. Выбрав сервер с которым синхронизировать портажи, я уже доверил ему выполнение произвольного кода в моей системе. Ему нет смысла связываться с дырами в rsync.<br>