สรุปข้อมูล

พบช่องโหว่ 6 รายการ ได้แก่ CVE-2024-12084, CVE-2024-12085, CVE-2024-12086, CVE-2024-12087, CVE-2024-12088 และ CVE-2024-12747 ใน Rsync Server ซึ่ง Rsync เป็น Open-source บนทุกระบบปฏิบัติการสำหรับการ Synchronize ไฟล์หรือ Directory และเป็นเครื่องมือในการ Transfer ข้อมูลระหว่าง Location บนเครื่อง Local และเครื่อง Remote ของระบบผ่านโปรโตคอล  นอกจากนี้ Rsync ยังสามารถใช้ในการ Backup ข้อมูลหรือไฟล์ได้อีกด้วย ช่องโหว่ดังกล่าวส่งผลให้แฮกเกอร์สามารถ Remote Code Execution, Privilege Escalation และแฮกเกอร์สามารถเข้าถึงไฟล์ข้อมูลและแก้ไขเนื้อหาในไฟล์นั้น ๆ

รายละเอียดช่องโหว่

• CVE-2024-12084 (คะแนน CVSS 9.8/10 ระดับความรุนแรง CRITICAL) เป็นช่องโหว่ Heap Buffer Overflow ที่เกิดจากการจัดการ Length (s2length) ของ Checksum ในโค้ด Rsync Daemon การโจมตีนี้จะเกิดเมื่อ MAX_DIGEST_LEN เกินค่า SUM_LENGTH ที่ถูก Fix ไว้ที่ 16 Bytes และแฮกเกอร์เขียน Out-of-bounds ใน Sum2 Buffer ส่งผลให้แฮกเกอร์สามารถ Remote Code Execution
• CVE-2024-12085 (คะแนน CVSS 7.5/10 ระดับความรุนแรง HIGH) เป็นช่องโหว่ Information Leak ผ่าน Stack ที่ Uninitialized เกิดขึ้นเมื่อ Rsync เปรียบเทียบ Checksum ของไฟล์ ซึ่งแฮกเกอร์สามารถเปลี่ยนแปลง Length (s2length) ของ Checksum เพื่อใช้ในการเทียบระหว่าง Checksum และ Uninitialized Memory ทำให้ข้อมูลใน Stack นั้น Leak ออกไปทีละ Byte
• CVE-2024-12086 (คะแนน CVSS 6.1/10 ระดับความรุนแรง MEDIUM) เป็นช่องโหว่เกี่ยวกับ Server Leak ไฟล์ของ Client เกิดขึ้นเมื่อ Transfer ไฟล์ที่ถูก Copy จากฝั่ง Client ไปยัง Server โดยแฮกเอร์ทำการเปลี่ยนแปลงค่า Checksum ซึ่งส่งผลให้แฮกเกอร์สามารถ Reconstruct ข้อมูลในไฟล์ขึ้นมาใหม่ได้
• CVE-2024-12087 (คะแนน CVSS 6.5/10 ระดับความรุนแรง MEDIUM) เป็นช่องโหว่ Path Traversal ผ่าน --inc-recursive Option จุดบกพร่องเกิดจากกระบวนการ Verification ของ Symlink และ Deduplication Check ที่เกิดขึ้นใน Per-file-list ส่งผลให้แฮกเกอร์สามารถ Write ไฟล์นอก Directory ที่ตั้งใจบน Client ได้
• CVE-2024-12088 (คะแนน CVSS 6.5/10 ระดับความรุนแรง MEDIUM) เกี่ยวกับการ Bypass ของ --safe-links Option ซึ่งช่องโหว่นี้เกิดจาก Rsync ไม่สามารถ Verify Symbolic Link Destination ได้ ส่งผลให้แฮกเกอร์สามารถทำการโจมตีรูปแบบ Path Traversal นอกจากนั้นแฮกเกอร์ยังสามารถ Write ไฟล์นอก Directory ที่เดิมกำหนดไว้
• CVE-2024-12747 (คะแนน CVSS 5.6/10 ระดับความรุนแรง MEDIUM) เป็นช่องโหว่ Race Condition ในการจัดการ Symbolic Link ของ Rsync ที่ Rsync จะทำการ Bypass Symbolic Link เมื่อพบ Symlink ส่งผลให้แฮกเกอร์เปลี่ยนจากไฟล์เป็น Symlink แทน

เวอร์ชันที่ได้รับผลกระทบ

ผลกระทบจากการโจมตี

ผลกระทบจากช่องโหว่ทั้ง 6 รายการของ Rsync Server ส่งผลให้แฮกเกอร์สามารถใช้ประโยชน์จากช่องโหว่ดังกล่าวในการโจมตีผู้ใช้งานหรือเครื่องมือที่ใช้ Rsync ในระบบได้ เช่น Rclone, DeltaCopy, ChronoSync, ที่เก็บไฟล์สาธารณะ และ Management Operation ของ Cloud และ Server เพื่อสามารเข้าถึง แก้ไขข้อมูลในไฟล์ต่าง ๆ  Remote Code Execution และ Privilege Escalation ในระบบของเหยื่อได้

คำแนะนำ

• ติดตามและปฏิบัติตามวิธีการแก้ไขปัญหาตามประกาศของ Rsync
• หมั่นตรวจสอบและอัปเดตซอฟต์แวร์อย่างสม่ำเสมอ
• Compile Flag เพิ่มเติมเพื่อปิดการใช้งาน SHA256 และ SHA512 Digest
• -ftrivial-auto-var-init=zero เพื่อกำหนดค่าเริ่มต้นให้กับ Stack เพื่อป้องกันการ Leak Information

แหล่งอ้างอิง

hxxps://cybersecuritynews[.]com/linux-rsync-file-transfer-tool-vulnerability/

hxxps://thehackernews[.]com/2025/01/google-cloud-researchers-uncover-flaws[.]html