CVE-2022-29154

Se ha detectado un problema en rsync versiones anteriores a 3.2.5, que permite a servidores remotos maliciosos escribir archivos arbitrarios dentro de los directorios de los pares conectados. El servidor elige qué archivos/directorios son enviados al cliente. Sin embargo, el cliente rsync no lleva a cabo una comprobación suficiente de los nombres de los archivos. Un servidor rsync malicioso (o un atacante de tipo Man-in-The-Middle) puede sobrescribir archivos arbitrarios en el directorio de destino del cliente rsync y en los subdirectorios (por ejemplo, sobrescribir el archivo .ssh/authorized_keys)

A flaw was found in rsync that is triggered by a victim rsync user/client connecting to a malicious rsync server. The server can copy and overwrite arbitrary files in the client's rsync target directory and subdirectories. This flaw allows a malicious server, or in some cases, another attacker who performs a man-in-the-middle attack, to potentially overwrite sensitive files on the client machine, resulting in further exploitation.