Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Houve notícias preocupantes no mundo da segurança cibernética: mais de 660 mil servidores Rsync ficaram expostos a possíveis ataques devido a seis vulnerabilidades recém-descobertas. Entre elas está uma falha crítica de estouro de buffer de heap (CVE-2024-12084) que permite a execução remota de código (RCE) nos servidores.
O Rsync é um utilitário popular utilizado para sincronização de arquivos e transferência de dados no Linux. Muitos usuários o utilizam para backups incrementais, gerenciamento de servidores e distribuição pública de arquivos. Embora seja uma ferramenta muito eficiente, essas novas vulnerabilidades destacam os riscos de se ter servidores desatualizados.
Uma análise mais detalhada das vulnerabilidades do Rsync
Pesquisadores do Google Cloud e outros colaboradores independentes descobriram essas falhas e demonstraram como elas poderiam ser combinadas para realizar ataques complexos. Essencialmente, essas vulnerabilidades poderiam permitir que invasores comprometessem sistemas por meio de acesso anônimo ou servidores mal configurados.
Essas seis vulnerabilidades afetam versões do Rsync anteriores à 3.4.0 e apresentam gravidade que varia de crítica a moderada:
Estouramento de buffer na pilha (CVE-2024-12084)
Esta é a vulnerabilidade mais grave, com uma pontuação CVSS de 9,8. Ela permite a execução de código arbitrário devido à forma como os comprimentos das somas de verificação são tratados. Ela afeta as versões 3.2.7 até (mas não incluindo) 3.4.0. Uma solução alternativa é recompilar o Rsync com opções específicas para desativar o suporte a SHA256/SHA512.
Vazamento de informações por meio de pilha não inicializada (CVE-2024-12085)
Essa vulnerabilidade pode expor dados confidenciais por meio da manipulação dos comprimentos das somas de verificação. Ela afeta todas as versões anteriores à 3.4.0. A compilação com opções para inicializar o conteúdo da pilha pode mitigar esse risco. Ela possui uma pontuação CVSS de 7,5 (Alta).
Servidor vaza arquivos arbitrários do cliente (CVE-2024-12086)
Ao manipular os valores das somas de verificação, os invasores poderiam reconstruir os arquivos dos clientes. Essa vulnerabilidade afeta todas as versões anteriores à 3.4.0 e possui uma pontuação CVSS de 6,1 (Média).
Acesso não autorizado a caminhos de diretório por meio da opção –inc-recursive (CVE-2024-12087)
Essa vulnerabilidade permite que invasores gravem arquivos fora dos diretórios previstos, explorando falhas na verificação de links simbólicos. Ela afeta todas as versões anteriores à 3.4.0 e possui uma pontuação CVSS de 6,5 (Média).
Contorno da opção –safe-links (CVE-2024-12088)
Os invasores podem usar links simbólicos com caminhos aninhados para gravar arquivos arbitrários. Isso afeta todas as versões anteriores à 3.4.0 e tem uma pontuação CVSS de 6,5 (Média).
Condição de corrida simbólica (CVE-2024-12747)
Essa vulnerabilidade permite que invasores aumentem seus privilégios ao explorar condições de corrida no tratamento de links. Ela afeta todas as versões anteriores à 3.4.0 e possui uma pontuação CVSS de 5,6 (Média).
A dimensão do problema
Uma pesquisa do Shodan identificou mais de 660.000 servidores Rsync expostos em todo o mundo. É alarmante que mais de 500.000 deles estejam na China, seguidos por números menores nos Estados Unidos, em Hong Kong e na Alemanha. A maioria dos servidores opera na porta TCP padrão 873, enquanto outros utilizam a porta 8873 para o Rsync por meio de tunelamento SSH. Nem todos os servidores expostos são vulneráveis, mas aqueles que permitem conexões anônimas correm o maior risco.
Quem é afetado?
O CERT/CC confirmou que as vulnerabilidades afetam todas as versões do Rsync anteriores à 3.4.0, podendo impactar as principais distribuições Linux, como Red Hat, Ubuntu, AlmaLinux e Gentoo. Os espelhos públicos configurados para acesso anônimo são particularmente vulneráveis, já que os invasores precisam de acesso mínimo para explorar as falhas mais graves.
Quando combinadas, certas vulnerabilidades (como o estouro de buffer na pilha e falhas de vazamento de informações) permitem que invasores executem código em servidores com apenas acesso anônimo de leitura. Os invasores podem, então, usar servidores maliciosos para atacar clientes conectados, roubando dados confidenciais ou injetando código malicioso ao adulterar arquivos importantes como ~/.bashrc.
O que você pode fazer para se manter seguro?
Eis o que os administradores de sistema e as organizações devem fazer imediatamente:
- Atualize para o Rsync 3.4.0: esta versão corrige todas as vulnerabilidades relatadas.
- Restringir o acesso: Certifique-se de que sejam exigidas credenciais para todas as conexões ao servidor Rsync.
- Bloquear a porta TCP 873: Impedir que o daemon Rsync seja acessado a partir de redes não confiáveis.
- Use opções de segurança: caso não seja possível atualizar imediatamente, recompilar o Rsync com opções específicas pode ajudar a minimizar o risco.
Conclusão
O comunicado da Red Hat sobre o CVE-2024-12084 destaca que a configuração padrão do rsyncd permite a sincronização anônima de arquivos, o que deixa os servidores Rsync particularmente vulneráveis. É hora de agir — não espere até que os invasores explorem essas falhas. Como é provável que as tentativas de exploração aumentem, as organizações que utilizam o Rsync precisam agir rapidamente para mitigar os riscos e proteger seus sistemas, atualizando para a versão 3.4.0.
As fontes deste artigo incluem uma matéria do BleepingComputer.
