ermöglicht Ihnen, Dateien und Verzeichnisse zwischen zwei Computern in einem Netzwerk oder zwischen zwei Standorten auf demselben Computer zu synchronisieren
Das beliebte Dateisynchronisierungstool Rsync hat nach mehrmonatiger kontinuierlicher Entwicklung und gründlicher Prüfung die mit Spannung erwartete Version 3.5.0 veröffentlicht . Dieses Update gilt als eines der bedeutendsten in der jüngeren Geschichte des Projekts.
Die Zusammenarbeit zwischen Administratoren und der Forschungsgemeinschaft hat zur Behebung dutzender kritischer Sicherheitslücken geführt und die Art und Weise, wie das System Pfadauflösung, Zugriffsvalidierungen und symbolische Verknüpfungen bei Übertragungsvorgängen handhabt, neu definiert.
Hauptneuigkeiten von Rsync 3.5.0
Die Veröffentlichung von Rsync 3.5.0 behebt Schwachstellen im Zusammenhang mit direktem Zugriff und Ausführungskontrolle . Einer der schwerwiegendsten behobenen Fehler ist CVE-2026-53791 , eine Sicherheitslücke in der Implementierung des Modus `proxy protocol = true`. Zuvor konnte ein Angreifer eine direkte Verbindung herstellen und seine IP-Adresse durch Manipulation des PROXY-Headers fälschen, wodurch er die Zugriffsbeschränkungen des Daemons umging. Mit dem neuen Update blockiert das System nun alle eingehenden Proxy-Verbindungen, sofern nicht explizit eine Whitelist in der Hosts-Direktive des Proxy-Protokolls definiert ist.
Parallel dazu wurde eine gefährliche Command-Injection-Schwachstelle (CVE-2026-53790) behoben. Diese Schwachstelle entstand, weil das System externe Werte beim Aufruf von Befehlen über Umgebungsvariablen (wie RSYNC_CONNECT_PROG), Exec-Handler oder die rsync-ssl-Umgebung nicht korrekt maskierte. Durch den Empfang nicht validierter Werte wie Host- oder Modulnamen konnte ein Angreifer die Ausführung beliebiger Befehle auf dem Hostsystem erzwingen.
Schutz vor symbolischen Links und Zugriffen außerhalb des zulässigen Bereichs
Weitere in dieser Version enthaltene Korrekturen betreffen symbolische Links, die den größten Angriffsvektor darstellten und insgesamt elf Schwachstellen in diesem Zusammenhang behoben wurden. Diese Schwachstellen ermöglichten es einem lokalen Benutzer mit eingeschränkten Berechtigungen, den rsync-Prozess dazu zu bringen, beliebige Dateien außerhalb des vorgesehenen Verzeichnisses zu lesen (CVE-2026-53802) oder zu schreiben (CVE-2026-53803), selbst unter Umgehung von chroot-Umgebungen. Beispielsweise konnte ein Angreifer durch schnelles Ersetzen der Ziel-Logdatei durch einen Link zu /root/.ssh/authorized_keys seine Anmeldeinformationen im Administratorkonto einfügen.
Um diese Race-Based-Angriffe (TOCTOU) zu eliminieren, hat das Team die Handhabung symbolischer Links plattformübergreifend vereinheitlicht . Die Validierung erfolgt nun durch sequentielle und sichere Auflösung jeder Pfadkomponente, wobei sichergestellt wird, dass symbolische Links zu Zielverzeichnissen dem aktuellen Benutzer oder dem Administrator (Root) gehören.
Kritische Sicherheitslücken wurden auch in rrsync (CVE-2026-53783) behoben. Dieses Programm validierte einen Pfad und führte dann eine Synchronisierung unter demselben Namen durch, wodurch ein Zeitfenster entstand, das der Angreifer nutzte, um einen symbolischen Link einzufügen, der das zulässige Basisverzeichnis umging.
Speicherkorrekturen und Widerstandsfähigkeit gegen Denial-of-Service-Angriffe
Das Update enthält außerdem Patches für Speicherbeschädigungs-Schwachstellen , wie z. B. Schreibvorgänge außerhalb des Puffers. Die Entwickler haben CVE-2026-70461 behoben, bei der das System die Größe des abschließenden Backslashs in Filterregeln von Drittanbietern ignorierte, sowie CVE-2026-70456, das einen Heap-Speicherfehler verursachte, indem es das Nullzeichen beim Parsen von Befehlsargumentgrenzen ignorierte.
Das System verfügt zudem über verbesserte Abwehrmechanismen gegen Angriffe, die auf die Überlastung von Serverressourcen abzielen ( Denial-of-Service – DoS ). Kritische Szenarien, wie sie unter den Kennungen CVE-2026-70453 und CVE-2026-70464 gemeldet wurden und bei denen das Senden unvollständiger Parameter, manipulierter Zeichenketten oder übermäßiger Konfigurationen (z. B. die missbräuchliche Zuweisung von Zstandard-Threads) die maximale Anzahl gleichzeitiger Verbindungen des Servers überschritt oder die CPU-Leistung erschöpfte, wurden behoben. Dadurch wird der Rsync-Daemon in Produktionsumgebungen stabilisiert.
Sie möchten mehr über diese neue Version erfahren ? Details finden Sie unter folgendem Link.
Wie installiere ich Rsync unter Linux?
Für diejenigen, die daran interessiert sind, dieses Tool auf ihrem System zu installieren, können sie dies tun, indem sie das Paket installieren, das in den Repositories der meisten Linux-Distributionen angeboten wird.
Für alle Benutzer von Debian, Ubuntu oder einer davon abgeleiteten Distribution: Öffnen Sie einfach ein Terminal und geben Sie Folgendes ein:
sudo apt installieren rsync
Und nun für alle Fedora-Nutzer:
sudo dnf installieren rsync
Für diejenigen, die Benutzer von Arch Linux und dessen Derivaten sind:
Sudo Pacman -S rsync
An diejenigen, die openSUSE-Nutzer sind:
sudo zypper in rsync