rsync – Leck von nicht initialisiertem Stack-Speicher beim Checksummen-Vergleich

Beschreibung

In rsync wurde ein Fehler gefunden, der beim Vergleich von Datei-Prüfsummen ausgelöst werden kann. Der Fehler erlaubt es einem Angreifer, die Prüfsummenlänge (s2length) zu manipulieren und so einen Vergleich zwischen einer Prüfsumme und nicht initialisiertem Speicher zu erzwingen, wodurch byteweise nicht initialisierte Stack-Daten preisgegeben werden. Die Schwachstelle ist über das Netzwerk ohne Benutzerinteraktion ausnutzbar und beeinträchtigt die Vertraulichkeit. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 8.8 %. Empfohlene Massnahme: Aktualisierungen der betroffenen Distributionen und Hersteller verfolgen und einspielen, sobald verfügbar.

Changelog

1. 2026-07-19 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Samba

• Linux Kernel – Incorrect Resource Transfer Between Spheres (Copy Fail) KEV CVE-2026-31431
• Apache Tomcat EncryptInterceptor Bypass – fehlende Verschlüsselung sensibler Daten KEV CVE-2026-34486
• Apple Multiple Products – Buffer Overflow Vulnerability KEV CVE-2025-31277
• Sudo Inclusion of Functionality from Untrusted Control Sphere KEV CVE-2025-32463
• Rails / Ruby on Rails Path Traversal Vulnerability KEV CVE-2019-5418
• SAP NetWeaver Visual Composer – Deserialisierungsschwachstelle im Metadata Uploader KEV CVE-2025-42999