B
今週中
Rsyncのデーモン（rsyncd）において、バッファオーバーフロー（CVE-2024-12084）と情報漏洩（CVE-2024-12085）の脆弱性
📌 一言でいうと
Rsyncのデーモン（rsyncd）において、バッファオーバーフロー（CVE-2024-12084）と情報漏洩（CVE-2024-12085）の脆弱性が発見されました。これら2つの脆弱性を組み合わせることで、攻撃者はリモートでコードを実行できる可能性があります。影響を受けるバージョンは3.3.0以下であり、3.4.0へのアップデートが推奨されています。
🔍該当判定
- サーバーでファイル同期ソフト『Rsync』をインストールして利用している
- Rsyncのバージョンが 3.3.0 以前である
- Rsyncを『デーモンモード（rsyncd）』で動作させ、外部からアクセス可能にしている
- Rsyncの設定で、パスワードなしの『匿名アクセス（匿名同期）』を許可している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
Rsyncを最新バージョン（3.4.0以降）にアップデートしてください。アップデートが困難な場合は、rsyncdの設定で匿名アクセスを禁止し、認証（auth users/secrets file）を導入してください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Rsync 脆弱性 (CVE-2024-12084/CVE-2024-12085) 対応について
お疲れさまです。Rsyncの脆弱性に関する情報共有です。
■ 概要
Rsyncデーモンにおいて、堆積バッファオーバーフロー(CVE-2024-12084, CVSS 9.8)およびメモリ未初期化による情報漏洩(CVE-2024-12085, CVSS 7.5)が報告されました。これらを組み合わせることで、リモートコード実行(RCE)に至る可能性があります。
■ 影響範囲
- 対象製品: Rsync
- 対象バージョン: 3.3.0 以下のバージョン
■ 対応手順
1. Rsyncをバージョン 3.4.0 以降にアップデートしてください。
2. アップデートが即時困難な場合、rsyncdの設定を変更し、匿名アクセスを禁止して認証（auth users および secrets file）を有効にしてください。
3. (開発環境等) コンパイル時に "-ftrivial-auto-var-init=zero" オプションを検討してください。
■ 参考情報
- 公式NEWS: https://download.samba.org/pub/rsync/NEWS#3.4.0
- ダウンロード: https://rsync.samba.org/download.html
対応優先度: 高
対応期限: 速やかに
お疲れさまです。Rsyncの脆弱性に関する情報共有です。
■ 概要
Rsyncデーモンにおいて、堆積バッファオーバーフロー(CVE-2024-12084, CVSS 9.8)およびメモリ未初期化による情報漏洩(CVE-2024-12085, CVSS 7.5)が報告されました。これらを組み合わせることで、リモートコード実行(RCE)に至る可能性があります。
■ 影響範囲
- 対象製品: Rsync
- 対象バージョン: 3.3.0 以下のバージョン
■ 対応手順
1. Rsyncをバージョン 3.4.0 以降にアップデートしてください。
2. アップデートが即時困難な場合、rsyncdの設定を変更し、匿名アクセスを禁止して認証（auth users および secrets file）を有効にしてください。
3. (開発環境等) コンパイル時に "-ftrivial-auto-var-init=zero" オプションを検討してください。
■ 参考情報
- 公式NEWS: https://download.samba.org/pub/rsync/NEWS#3.4.0
- ダウンロード: https://rsync.samba.org/download.html
対応優先度: 高
対応期限: 速やかに
Subject: [Security Advisory] Rsync Vulnerabilities (CVE-2024-12084 / CVE-2024-12085)
Dear IT Administration Team,
We are sharing critical vulnerability information regarding Rsync.
■ Overview
Two vulnerabilities have been discovered in the Rsync daemon: a heap buffer overflow (CVE-2024-12084, CVSS 9.8) and an information leak due to uninitialized memory (CVE-2024-12085, CVSS 7.5). Combined, these could allow a remote attacker to execute arbitrary code (RCE).
■ Scope
- Product: Rsync
- Affected Versions: 3.3.0 and below
■ Mitigation Steps
1. Upgrade Rsync to version 3.4.0 or later.
2. If an immediate upgrade is not possible, disable anonymous access in the rsyncd configuration and implement authentication using 'auth users' and 'secrets file'.
3. For custom builds, consider using the "-ftrivial-auto-var-init=zero" compiler option.
■ Reference
- Official News: https://download.samba.org/pub/rsync/NEWS#3.4.0
- Downloads: https://rsync.samba.org/download.html
Priority: High
Deadline: Immediate
Dear IT Administration Team,
We are sharing critical vulnerability information regarding Rsync.
■ Overview
Two vulnerabilities have been discovered in the Rsync daemon: a heap buffer overflow (CVE-2024-12084, CVSS 9.8) and an information leak due to uninitialized memory (CVE-2024-12085, CVSS 7.5). Combined, these could allow a remote attacker to execute arbitrary code (RCE).
■ Scope
- Product: Rsync
- Affected Versions: 3.3.0 and below
■ Mitigation Steps
1. Upgrade Rsync to version 3.4.0 or later.
2. If an immediate upgrade is not possible, disable anonymous access in the rsyncd configuration and implement authentication using 'auth users' and 'secrets file'.
3. For custom builds, consider using the "-ftrivial-auto-var-init=zero" compiler option.
■ Reference
- Official News: https://download.samba.org/pub/rsync/NEWS#3.4.0
- Downloads: https://rsync.samba.org/download.html
Priority: High
Deadline: Immediate