Rsync 3.5 har släppts med rättningar för 33 säkerhetsproblem, däribland en kritisk sårbarhet som kunde användas för att kringgå serverns åtkomstkontroller. Uppdateringen innehåller dessutom omfattande förstärkningar av programmets hantering av sökvägar, symboliska länkar, krypterade anslutningar och rsync-servrar.
Rsync 3.5 har släppts med omfattande säkerhetsförbättringar. Den nya versionen rättar sammanlagt 33 säkerhetsproblem, varav ett klassas som kritiskt och flera som allvarliga.
Rsync används för att kopiera och synkronisera filer både lokalt och mellan datorer. Programmet förekommer även i många skript, säkerhetskopieringslösningar och servermiljöer. Säkerhetsproblemen i version 3.5 är framför allt resultatet av en omfattande granskning av programmets sökvägshantering och daemonprotokoll.
Kritisk sårbarhet i proxyprotokollet
Den allvarligaste sårbarheten har beteckningen CVE-2026-53791 och klassas som kritisk.
Problemet berör rsync-servrar där inställningen proxy protocol = true används. En klient som anslöt direkt till servern kunde skicka ett manipulerat PROXY-huvud och därigenom förfalska sin ursprungliga IP-adress. Detta kunde användas för att kringgå värdbaserade åtkomstregler.
I rsync 3.5 godtas en vidarebefordrad adress endast när anslutningen kommer från en uttryckligen angiven och betrodd proxyserver.
Som en ytterligare säkerhetsåtgärd kommer en server som har proxy protocol = true, men saknar inställningen proxy protocol hosts, nu att neka samtliga anslutningar. Rsync varnar dessutom för konfigurationsfelet när daemonen startas.
Förstärkt skydd mot sökvägsattacker
Många av de rättade sårbarheterna handlar om symboliska länkar och otillräckligt skyddade sökvägar. Under vissa omständigheter kunde en angripare få rsync att läsa, skriva eller radera filer utanför den avsedda katalogen.
Rsync 3.5 inför därför en säkrare metod för att behandla sökvägar komponent för komponent. Bland annat har skyddet förbättrats för följande funktioner:
- Filterfiler och listor som anges med exempelvis
--filteroch--files-from. - Loggfiler samt filer som används av
--write-batchoch--read-batch. - Mottagarkataloger och temporära kataloger.
- Alternativen
--partial-dir,--backup-diroch--link-dest. - Radering av källfiler med
--remove-source-files. - Bevarande av ACL-rättigheter och utökade attribut.
- Begränsade rsync-konton som använder verktyget
rrsync.
En särskilt viktig rättning gäller sökvägar som skickas av en ansluten klient. Tidigare kunde symboliska länkar i en rsync-modul under vissa förhållanden styra --partial-dir eller --backup-dir utanför modulens rotkatalog. Dessa sökvägar begränsas nu till det tillåtna området.
Skydd mot överbelastning och minnesfel
Version 3.5 rättar även flera problem som kunde användas för att överbelasta eller krascha en rsync-server.
En angripare kunde bland annat skapa särskilt utformade kedjor med identiska svaga kontrollsummor och därigenom orsaka en kvadratisk ökning av processorbelastningen. Sökningen genom sådana kedjor begränsas nu.
Andra rättningar omfattar bland annat:
- Begränsning av antalet Zstandard-trådar som en klient kan begära från en daemon.
- En tidsgräns för klienter som påbörjar en anslutning men sedan skickar data extremt långsamt.
- Kontroller mot flera heltalsöverskridningar.
- Rättningar av skrivningar utanför tilldelat minne.
- Begränsningar för mängden data som kan skickas i proxyhuvuden och utökade filattribut.
Standardgränsen för komprimeringstrådar i daemonläge har stärkts så att en fjärrklient inte längre kan starta hundratals trådar genom en enda anslutning.
hosts deny misslyckas nu säkert
En sårbarhet i hanteringen av hosts deny kunde tidigare leda till att en klient tilläts ansluta om ett värdnamn i nekandelistan inte gick att slå upp.
Rsync 3.5 ändrar beteendet så att ett misslyckat namnuppslag i en sådan regel leder till att anslutningen nekas. Programmet använder därmed principen ”fail closed” i stället för att släppa igenom klienten.
Även tolkningen av vissa regler under auth users har rättats. Gruppnamn som innehöll mellanslag kunde tidigare göra att en nekningsregel eller en regel för skrivskydd inte tillämpades som avsett.
Säkrare krypterade anslutningar
Skriptet rsync-ssl, som används för att köra rsync över en krypterad TLS-anslutning, får en viktig säkerhetsförbättring.
När stunnel användes kontrollerade tidigare versioner inte alltid att servercertifikatet var utfärdat av en betrodd certifikatutfärdare eller att certifikatet tillhörde det begärda värdnamnet. En angripare med möjlighet att påverka nätverkstrafiken kunde därför i vissa situationer utge sig för att vara rsync-servern.
I rsync 3.5 kräver stunnel-läget korrekt certifikatkontroll och matchning av värdnamnet. Den äldre, osäkra hanteringen kan endast aktiveras genom ett uttryckligt undantag.
Klienten har även fått skydd mot en skadlig motpart som försöker ändra eller stänga av klientens tidsgräns för in- och utmatning.
Filnamn kan inte längre manipulera loggar
Kontrolltecken i filnamn kodas numera innan de skrivs till loggfiler. Det förhindrar att manipulerade filnamn används för att infoga falska loggrader eller skicka terminalkommandon när en administratör öppnar loggen.
Utvecklarna har också stängt en möjlighet att kringgå --safe-links i kombination med säkerhetskopiering. Osäkra symboliska länkar ska därmed inte längre kunna följa med till säkerhetskopieringsområdet via en alternativ kodväg.
Vissa ändringar kan påverka befintliga skript
Den striktare säkerhetsmodellen medför även några beteendeförändringar.
En mottagare som inte körs i daemonläge följer nu endast en symbolisk länk som används som målkatalog om länken ägs av root eller av den användare som kör rsync. Syftet är att förhindra att en annan lokal användare byter ut målkatalogen och styr filerna till en annan plats.
Administratörer som använder symboliska länkar, egna proxyinställningar, rrsync eller avancerade alternativ för säkerhetskopiering bör därför testa sina befintliga skript efter uppgraderingen.
Uppgradering rekommenderas
På grund av antalet säkerhetsproblem och deras allvarlighetsgrad bör användare och administratörer uppgradera till rsync 3.5 så snart versionen blir tillgänglig i den aktuella Linuxdistributionens paketförråd.
Exakt vilka äldre versioner som påverkas varierar mellan sårbarheterna. Det är därför inte korrekt att utgå från att samtliga problem berör alla tidigare rsync-versioner. Distributioner kan dessutom välja att föra tillbaka säkerhetsrättningarna till äldre paketversioner.
Den installerade versionen kan kontrolleras med:
rsync --version
Serveradministratörer bör särskilt granska installationer där rsync körs som daemon, med höga behörigheter eller genom begränsade SSH-konton.
Mer information finns i de officiella versionsanteckningarna för rsync 3.5.
SLÄPPT: 13 augusti 2026
SÄKERHETSFEL: 33
HÖGSTA ALLVARLIGHET: Kritisk
KRITISK SÅRBARHET: CVE-2026-53791
BERÖR: Klient, daemon, rrsync, rsync-ssl och sökvägshantering
