Rsync 3.5 ya está disponible como una importante actualización de esta veterana herramienta de código abierto para sincronizar y transferir archivos. La nueva versión corrige nada menos que 33 vulnerabilidades de seguridad, incluyendo un fallo de gravedad crítica y numerosos problemas clasificados como de alta severidad. Además de las correcciones, el lanzamiento incorpora una amplia batería de medidas de endurecimiento para mejorar la seguridad del demonio, el tratamiento de rutas y el aislamiento de las operaciones con archivos.

Rsync se utiliza ampliamente en sistemas Linux y Unix para realizar copias de seguridad, sincronizar directorios y transferir grandes cantidades de datos de forma eficiente. Precisamente por su presencia en servidores y sistemas automatizados, los problemas de seguridad descubiertos en esta versión son especialmente relevantes para administradores que utilicen rsync de forma remota.

Rsync 3.5 corrige una vulnerabilidad crítica

La corrección más importante de Rsync 3.5 afecta a CVE-2026-53791, una vulnerabilidad crítica relacionada con los demonios de rsync configurados utilizando proxy protocol = true. En determinadas configuraciones, un cliente que se conectase directamente al demonio en lugar de hacerlo a través del proxy de confianza previsto podía proporcionar su propio encabezado PROXY y falsificar su dirección IP de origen.

Esto podía permitir eludir controles de acceso basados en el origen de la conexión. El problema resulta especialmente importante en instalaciones que utilizan rsync detrás de un proxy y confían en la información proporcionada mediante el protocolo PROXY para decidir qué clientes tienen permitido acceder al servicio.

Rsync 3.5 modifica este comportamiento y, además, establece que utilizar proxy protocol = true sin especificar los hosts de confianza para dicho protocolo provoca que las conexiones sean rechazadas. De esta manera, una configuración incompleta deja de permitir conexiones potencialmente inseguras.

Más protección frente a ataques mediante enlaces simbólicos

Una parte considerable de las vulnerabilidades solucionadas en Rsync 3.5 está relacionada con el tratamiento de enlaces simbólicos y el confinamiento de rutas. Algunos de estos problemas podían permitir que un atacante redirigiera determinadas operaciones fuera del directorio previsto, llegando en ciertas configuraciones a provocar lecturas o escrituras arbitrarias de archivos, filtración de información o incluso escalada de privilegios.

La nueva versión refuerza específicamente el aislamiento utilizado por diferentes opciones de rsync, entre ellas --relative, --temp-dir y --link-dest. También se han endurecido las operaciones relacionadas con ACL, atributos extendidos, enumeración de directorios y --remove-source-files.

El wrapper restringido rrsync también recibe protecciones adicionales contra escapes de directorios y opciones inseguras. Por otro lado, las rutas proporcionadas por el extremo remoto mediante --partial-dir y --backup-dir quedan ahora confinadas al directorio raíz del módulo del demonio, evitando determinados ataques basados en enlaces simbólicos.

Rsync 3.5 mejora la seguridad de memoria

La actualización también corrige varios problemas de seguridad de memoria que podían alcanzarse a través del protocolo utilizado por el demonio. Entre ellos se encuentran escrituras fuera de los límites del heap relacionadas con el procesamiento de filtros, el análisis de argumentos y la gestión de enlaces duros.

Estos problemas fueron descubiertos mediante fuzzing del protocolo del demonio y podían ser activados remotamente mediante datos especialmente preparados. La corrección de este tipo de vulnerabilidades es particularmente importante en servidores que exponen rsync a clientes que no están completamente bajo su control.

Rsync 3.5 también soluciona un problema que podía provocar un consumo de CPU cuadrático mediante cadenas de sumas de comprobación especialmente construidas. Además, se ha reforzado el comportamiento de hosts deny para que las entradas que no puedan resolverse fallen de forma segura en lugar de permitir el acceso, y se ha corregido el análisis de determinadas reglas de usuarios de autenticación.

Mejoras de seguridad para el cliente y rsync-ssl

Las correcciones no se limitan al funcionamiento del demonio. En el lado del cliente, Rsync 3.5 soluciona una vulnerabilidad que podía permitir a un equipo remoto manipular el tiempo de espera de E/S del cliente.

También se ha mejorado de forma importante rsync-ssl. Cuando utiliza stunnel para establecer conexiones cifradas, ahora realiza correctamente la verificación del certificado y la vinculación con el nombre de host. El comportamiento inseguro únicamente puede utilizarse si el administrador solicita expresamente desactivarlo mediante la correspondiente opción de excepción.

El proyecto ha añadido además varias medidas de endurecimiento adicionales. Los caracteres de control presentes en los nombres de archivo se escapan antes de escribirse en los registros, evitando posibles ataques de inyección en terminales y archivos de log. También se ha cerrado un bypass de --safe-links relacionado con las copias de seguridad, se ha limitado la longitud de los encabezados PROXY y se han añadido comprobaciones adicionales frente a desbordamientos de enteros y otros problemas de seguridad de memoria.

Cambios de comportamiento para mejorar la seguridad

El endurecimiento de Rsync 3.5 también introduce algunos cambios que pueden afectar a determinadas configuraciones existentes. Por ejemplo, un receptor que no utilice el modo demonio solamente seguirá un directorio de destino enlazado simbólicamente cuando dicho enlace sea propiedad de root o del usuario que está ejecutando rsync.

Son cambios que pueden resultar menos cómodos en configuraciones muy específicas, pero que buscan impedir que las operaciones de sincronización puedan desviarse hacia ubicaciones no previstas mediante enlaces simbólicos u otras técnicas de manipulación de rutas.

Una actualización especialmente importante para servidores

Con Rsync 3.5, el proyecto pone el foco claramente en la seguridad. Las 33 vulnerabilidades corregidas afectan a diferentes partes de la aplicación y abarcan desde problemas críticos en determinadas configuraciones del demonio hasta vulnerabilidades de memoria, escapes mediante enlaces simbólicos y problemas en el cliente.

Por ello, la actualización resulta especialmente recomendable para administradores que utilicen rsync en servidores accesibles remotamente o como parte de sistemas automatizados de copias de seguridad y sincronización. El proyecto recomienda actualizar a la versión 3.5 tan pronto como los paquetes estén disponibles para la distribución utilizada.

Más allá de corregir las vulnerabilidades identificadas, Rsync 3.5 refuerza varias capas de seguridad de la herramienta, desde el confinamiento de rutas hasta la gestión de certificados, los registros y el procesamiento de datos proporcionados por equipos remotos. Es, por tanto, una actualización especialmente relevante para una herramienta que continúa desempeñando un papel fundamental en la administración de sistemas Linux y Unix.

Artículo original