Из-за 33 уязвимостей Debian решил не бэкпортировать патчи, а поднять пакет до 3.5.0. Изменения: симлинки теперь проверяются на владельца, rsync-ssl проверяет сертификаты, `--chmod=a+s` теперь корректно выставляет setuid+setgid, и другие breaking changes.
lobste.rs · #security #cve #debian #rsync #security
Релиз Rsync 3.5 назван «экстраординарным» — 33 исправления безопасности, найденные в ходе аудита обработки путей и демон-протокола. В списке — чтение/запись файлов через симлинки и высокие CVE.
www.phoronix.com · #security #cve #patch #rsync #security
Andrew Tridgell выпустил rsync 3.4.4 именно как исправление регрессий, которые принесла версия 3.4.3. Заодно он уже готовит 3.5.0 и зовет тестировать его через отдельный rsync-security@lists.samba.org — видимо, прошлый раунд получился достаточно бодрым.
lwn.net · #tool #regression #rsync #samba #security