脆弱性情報（JVN）検索・一覧

Devolutions Server 2026.1.16.0以前のバージョンにおいて、ボールトインポート機能に認可の欠如がありました。そのため、権限の低い認証済みユーザーが細工されたインポートリクエストを通じて新しいボールトを作成することができる問題があります。

Devolutions Serverのユーザープロファイル更新機能には認可の欠如があり、認証されたActive Directoryユーザーが細工されたAPIリクエストを通じて自身のプロファイル属性を変更できる問題が存在します。この問題はDevolutions Serverの特定のバージョンに影響を与えます。

Devolutions Serverの外部認証プロバイダーフローにおける不適切な入力検証により、認証されていないリモートの攻撃者が細工されたログインリンクを介して被害者を攻撃者が管理するドメインへリダイレクトすることが可能です。この問題はDevolutions Serverのバージョン2026.1.6.0から2026.1.16.0までおよび2025.3.20.0以前に影響します。

Devolutions Server のエントリードキュメントおよび添付機能における不適切なアクセス制御により、ボールトの読み取りアクセス権を持つ認証済みユーザーが細工された API リクエストを通じて封印されたエントリーのドキュメントおよび添付ファイルを取得できてしまう問題です。影響を受けるバージョンは Devolutions Server 2026.1.6.0 から 2026.1.16.0、ならびに Devolutions Server 2025.3.20.0 およびそれ以前のバージョンです。

Devolutions Serverのエントリーステータスマネジメント機能において認可が欠如しているため、管理者以外の認証済みユーザーが管理者が強制する保留承認フローを回避し、細工されたステータス変更リクエストを通じてエントリーのデータにアクセスできるようになります。この問題は複数のバージョンに影響を及ぼします。

Dell PowerFlex Manager バージョン4.6.2以下には、不適切な証明書検証の脆弱性があります。隣接ネットワークにアクセスできる認証されていない攻撃者がこの脆弱性を悪用すると、情報を改ざんする可能性があります。

Dell PowerFlex Manager バージョン 4.6.2 以下には、機密情報を安全に保存できない脆弱性が含まれています。ローカルアクセス権を持つ認証されていない攻撃者がこの脆弱性を悪用すると、機密情報へ不正にアクセスする恐れがあります。

Dell PowerFlex Manager バージョン4.6.2以下に、機密情報が安全に保存されない脆弱性があります。権限が低いローカル攻撃者がこの脆弱性を悪用すると、機密情報に不正にアクセスされる可能性があります。

Dell PowerFlex Manager バージョン4.6.2以下には、SSHにおいて破損またはリスクのある暗号アルゴリズムを使用する脆弱性があります。権限の低いローカルアクセスの攻撃者がこの脆弱性を悪用する可能性があり、その結果、保護メカニズムを回避される恐れがあります。

Splunk AI Toolkitのバージョン5.7.3未満では、「admin」または「power」ロールを持たない低権限ユーザーが、カスタムロールの`srchFilter`設定で制限された機密データにアクセスできる可能性がありました。このアプリには、組み込みの「user」ロールを変更する`srchFilter`エントリを含む`authorize.conf`設定ファイルが含まれています。Splunkプラットフォームは継承された検索フィルターを`OR` SPL演算子で組み合わせるため、注入されたフィルターが子ロールのより制限的なフィルターを上書きしてしまいます。

esaml（およびそのフォーク）におけるXML外部実体参照（XXE）脆弱性により、攻撃者はシステムにローカルファイルを読み込ませ、その内容を処理されたSAMLドキュメントに組み込み、さらに細工されたSAMLメッセージを介してSSRFを実行する可能性があります。esamlは署名検証前にxmerl_scan:string/2を使用して攻撃者が制御するSAMLメッセージを解析しますが、XMLエンティティ展開を無効にしていません。Erlang/OTP 27未満のバージョンでは、Xmerlがデフォルトでエンティティを許可しているため、署名前にXXE攻撃が可能です。攻撃者はホストにローカルファイル（例：Kubernetesでマウントされたシークレット）をSAMLドキュメントに読み込ませることができます。攻撃者が信頼されたSAML SPでない場合、署名検証は失敗してドキュメントは破棄されますが、ログやエラーメッセージを通じてファイル内容が露出する可能性があります。この問題はarekianth、handnot2、dropboxによるフォークを含むすべてのesamlバージョンに影響します。Erlang/OTP 27以降で実行しているユーザーは、Xmerlがエンティティを無効化するデフォルト設定となっているため影響を受けません。

Kyvernoはクラウドネイティブプラットフォームエンジニアリングチーム向けに設計されたポリシーエンジンです。2.5.2より前のバージョンでは、Vue 3のv-htmlディレクティブがフレームワークで文書化された生のHTMLを注入するためのメカニズムであり、{{}}補間が提供する自動エスケープを意図的に無効にしていました。PropertyCard.vueコンポーネントはURLチェックのelseブランチでv-htmlを使用しているため、URLではない文字列値が直接DOMにHTMLとして流れ込みます。isURL()ガードはhttp:またはhttps:のURLとして解析される値のみをフィルタリングするため、これらのスキームで始まらない任意のHTMLペイロードを完全に回避できます。このデータはKubernetesのPolicyReportのresults[].propertiesフィールドから取得され、これらはポリシーエンジンおよびクラスタ内のPolicyReportオブジェクトへの書き込みアクセス権を持つ任意の主体によって任意の文字列マップとして設定される可能性があります。この脆弱性は2.5.2で修正されました。

Linuxカーネルにおいて、drm/amdgpuのsignal ioctlにユーザー入力の上限チェックが追加されました。amdgpu_userq_signal_ioctl関数において、巨大な入力値がメモリ不足（OOM）を引き起こす可能性があり、悪用される恐れがあるため、これらの入力値をAMDGPU_USERQ_MAX_HANDLESと比較して上限を設け、潜在的なOOMを防止しています。

Linuxカーネルのcpufreqにあるintel_pstateドライバのupdate_cpu_qos_request()関数は、NULLポインタ逆参照を引き起こす脆弱性を修正されました。この関数はpolicyの有効性をチェックする前にcpudataを逆参照して周波数を初期化しようとしましたが、nosmtパラメータで起動したシステムではall_cpu_data[cpu]がNULLとなり問題が発生しました。その結果、NULLポインタ参照によってカーネルパニックが起きる可能性がありました。この修正はpolicyとdriver_dataの検証後にfreqの初期化を遅延させることで問題を解決しています。

Linuxカーネルにおけるmm: hmm_range_fault()のライブロックおよびスターベーション問題が修正されました。hmm_range_fault()はdo_swap_page内でfolio_trylock()に失敗すると、ロックが取得できるまでスピンし続けます。そのため、ロックを保持するプロセスがスピンして処理の完了を待っている場合にライブロックやスターベーション状態が発生していました。この問題は特定の環境で実際に検出されており、修正としてフォリオのロック待機方法を変更して問題の再発を防止しています。将来的にはマイグレーション処理の順序を変更することで簡素化することも検討されています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：kprobesに関して、ftraceが停止された後のrmmodやinsmod実行時に発生するクラッシュを回避するための対策が行われました。ftraceがいくつかのエラーにより停止した後に、kprobeがプローブしているモジュールを削除するとカーネルがクラッシュしてしまいます。具体的なエラーメッセージとしては、ページフォルトやOopsが発生します。これは、ftrace_kill()によって設定されるkprobe_ftrace_disabledフラグがkprobeで正しく処理されていないことが原因です。このエラーを防ぐために、__disarm_kprobe_ftrace()内でkprobe_ftrace_disabledを確認し、ftrace関連の操作をすべてスキップするように変更しました。

Linuxカーネルにおけるfirmware: stratix10-rsuドライバの脆弱性は、RSUが無効な場合にNULLポインタ参照が発生し、カーネルパニックを引き起こす問題です。この脆弱性は、RSUが無効でも非同期クライアントを適切にクリーンアップせず、失敗時に早期にリターンしないことが原因で発生します。修正では、rsu_send_async_msgの失敗時に適切に処理し、不正なチャネルアクセスを防止します。この改善によって、カーネルの安定性とセキュリティが向上します。

LinuxカーネルのTIPC（Transparent Inter-Process Communication）機能において、tipc_sk_filter_connect()関数内でゼロ除算の脆弱性が存在していました。この脆弱性は、setsockopt(TIPC_CONN_TIMEOUT)によりconn_timeoutを4未満の任意の値に設定できる問題が原因です。TIPC_ERR_OVERLOADによりSYNが拒否された際にリトライ処理が起動すると、delay %= (tsk-conn_timeout / 4); の計算でconn_timeoutが0から3の場合にゼロ除算例外が発生し、カーネルがクラッシュ（oopsやpanicを引き起こす）します。この脆弱性はconn_timeoutの最小値を4に制限することで修正されました。

LinuxカーネルのASoCのqcomドライバにおいて、ADSPの停止および開始時にq6apmの削除順序に問題がありました。この問題により、ADSP停止時にq6apmオーディオのremoveコールバックがトポロジーをアンロードし、ASoCの解体中にPCMランタイムを削除しますが、削除順序の不整合が原因でカーネルがクラッシュする可能性がありました。修正では、依存する子コンポーネントを最初に削除し、q6apmコンポーネントを最後に削除するように順序を調整しています。

Linuxカーネルのscsi: hisi_sasにおいて、user_scan()中にNULLポインター参照の脆弱性が存在しました。この関数はチャネル0に対して更新されたsas_user_scan()を呼び出し、成功時にはscsi_scan_host_selected()を介して残りのチャネルを反復します。しかし、hisi_sasは1チャネルのみをサポートし、max_channelが1に設定されているため、チャネル1に対するsas_user_scan()の呼び出しがNULLポインター参照を引き起こしました。この脆弱性によってカーネルがクラッシュしました。修正により、複数チャネルのスキャン処理がhisi_sasの仕様に合わせて適切にハンドリングされるようになりました。

Linuxカーネルにおいて、scsi: ufs: coreのUFSサスペンド中に発生するufshcd_rtc_work()のSErrorが修正されました。この脆弱性は、cancel_delayed_work_sync()がufshcd_vops_suspend()の呼び出し後に配置されていたために、ufshcd_rtc_work()が競合状態で動作し、SErrorが発生してカーネルパニックを引き起こす可能性があった問題です。この問題は、cancel_delayed_work_sync()をufshcd_vops_suspend()の呼び出し前に移動し、UFS RTC作業の完了またはキャンセルを保証することで修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。ALSAのusb-audioドライバにおいて、Scarlett2ミキサーインターフェースの解析時にエンドポイント番号をチェックする処理が不十分でした。USBオーディオドライバのScarlett2ミキサーは、誤ったUSB記述子が渡された場合にNULL参照が発生する可能性がありました。これは、scarlett2_find_fc_interface()内で解析されたインターフェースにエンドポイントが存在すると想定していたためです。この問題はファザーツールによって報告されました。NULL参照を回避するために、bNumEndpointsの正当性チェックを追加し、無効なインターフェースをスキップするように修正しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：cgroupにおけるタスクの移動とイテレーション間の競合状態の修正です。タスクがcss_setから移動される際、cgroup_migrate_add_task()は最初にlist_move_tail(&task-cg_list, &cset-mg_tasks);を通じてcset-tasksからcset-mg_tasksへタスクを移動します。もしcss_task_iterが現在it-task_posでこのタスクを指している場合、css_set_move_task()はイテレータを有効に保つためcss_task_iter_skip()を呼び出します。しかし、タスクはすでに-mg_tasksへ移動しているため、イテレータは元のtasksリストではなくmg_tasksリストに対して進められてしまいます。その結果、cset-tasks上の残りのタスクやcset-mg_tasksにキューイングされたタスクがイテレーションでスキップされる可能性があります。これを修正するために、task-cg_listをcset-tasksから切り離す前にcss_set_skip_task_iters()を呼び出します。これにより、すべてのアクティブなイテレータがcset-tasks上の次のタスクへ進み、タスクが同時に移動されている場合でもイテレーションを正しく継続できます。この競合は実際には計測なしでは発生しにくいものの、cgroup_procs_show()を人工的に遅延させることで再現可能です。例えばAndroidデバイスでは、一時的に/sys/kernel/cgroup/cgroup_testのノブを追加してcgroup_procs_show()に遅延を注入し、次の手順を行います：1) 3つの長時間実行タスク（PID 101, 102, 103）を生成します。2) テスト用cgroupを作成し、それらのタスクを移動します。3) /sys/kernel/cgroup/cgroup_test経由で大きな遅延を有効化します。4) 1つのシェルでテストcgroupからcgroup.procsを読み取ります。5) 遅延時間内に別のシェルでPID 102を異なるcgroup.procsファイルへ書き込み移動させます。この構成下で、cgroup.procsは断続的にPID 101のみを表示しPID 103をスキップすることがあります。移動が完了すると、再度ファイルを読むと期待通りすべてのタスクが表示されます。なお、この変更ではcss_set_move_task()内の既存のcss_set_skip_task_iters()呼び出しを除去できません。cgroup_migrate_add_task()内の新規呼び出しは、タスクがまだcset-tasks上にある間に移動と競合するイテレータのみを扱います。一方で、タスクがすでにcset-mg_tasksへ移動した後にイテレータが開始される場合もあります。もしcss_set_move_task()からcss_set_skip_task_iters()を削除すると、そのようなイテレータは移動中のタスクを指し続け、css_task_iter_advance()が移動先のcss_set上で誤動作（クラッシュや無限ループを含む）を引き起こす恐れがあります。移動とイテレーションの競合時間は非常に短く、css_task_iterはホットパスではありません。最悪の場合、移動中のプロセスの最初のスレッドにイテレータが位置している際に、cgroup_migrate_add_task()はcss_set_skip_task_iters()を使用して複数のタスクをスキップする必要があります。しかしこれは移動とイテレーションが実際に競合した時のみ発生するため、本修正による性能影響は正当な修正効果に比べて無視できる程度です。

LinuxカーネルのASoC: amd: acp-mach-commonにおいて、clk_get()の戻り値をチェックしなかったためにカーネルクラッシュを引き起こす可能性がある脆弱性が修正されました。修正内容は、clk_get()をdevm_clk_get()に変更し、取得直後にIS_ERR()でエラーチェックを追加することです。

Linuxカーネルのdrm/amdkfdにおいて、キューの更新が失敗した場合にboの予約を解除しないというエラーハンドリングの不備が問題を引き起こしていました。この問題は、失敗を返す前にboの予約を解除するように修正されました。

Linuxカーネルにおいて、e1000およびe1000eドライバのDMAエラー処理に関する脆弱性が修正されました。TXバッファのマッピング中にエラーが発生した場合、既にマッピングされていたバッファを正しくアンマップしなかったため、DMAマッピングのリークが発生していました。この問題は、無限ループを引き起こすコード変更やオフバイワンエラーによって引き起こされていました。該当する問題はigbvfドライバにも存在する可能性がありますが、本修正では対応していません。

Linuxカーネルにおいて、次の脆弱性が修正されました： accel/amdxdnaにおける保留中のジョブがある場合のランタイムサスペンドデッドロックを修正しました。ランタイムサスペンドコールバックは、デバイスをサスペンドする前に実行中のジョブワークキューを消化します。ジョブがまだ実行中の状態でpm_runtime_resume_and_get()を呼び出すと、ランタイムサスペンド経路でデッドロックが発生する可能性がありました。この問題は、pm_runtime_resume_and_get()をジョブ実行ルーチンからジョブ提出ルーチンに移動したことで修正されました。これにより、ジョブがキューに入る前にデバイスが復帰され、ランタイムサスペンド中のデッドロックを回避できます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。nvme-pciのnvme_poll_irqdisable()関数に競合状態のバグがありました。次のシナリオでは、(2)が原因で(1)と(3)の間にpdevが無効化されることがあります。その結果、pdev-msix_enabledが0に設定されます。そのため、pci_irq_vector()は(1)に対してMSI-X IRQ(15)を返し、(2)に対してはINTx IRQ(=15)を返します。この不一致により、以前には無効化されていなかったINTx IRQを有効化しようとし、IRQ警告が発生していました。この問題を修正するために、IRQ番号をローカル変数に保存し、disable_irq()とenable_irq()が常に同じIRQ番号で操作を行うことを保証しました。pci_free_irq_vectors()が同時にIRQを解放している場合でも、古いIRQ番号に対するdisable_irq()とenable_irq()は有効で安全に動作し、深度のカウントもバランスが保たれます。タスク1では、nvme_poll_irqdisable()内でdisable_irq(pci_irq_vector(pdev, nvmeq-cq_vector))...(1)およびenable_irq(pci_irq_vector(pdev, nvmeq-cq_vector))...(3)が実行されます。タスク2では、nvme_reset_work()内でnvme_dev_disable()が呼ばれ、pdev-msix_enabled = 0;...(2)が実行されます。クラッシュログの例として、IRQ 10のアンバランスなenableが検出され、__enable_irq関数内で警告が発生しました。これにより競合状態が引き起こされ、IRQの管理に問題が生じていました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：netfilterのnfnetlink_queueにおける、ブリッジ判定エラー経路でのエントリリークの問題です。nfqnl_recv_verdict()はキューからエントリを削除するためにfind_dequeue_entry()を呼び出し、そのエントリの所有権を取得します。PF_BRIDGEパケットの場合、続けてnfqa_parse_bridge()を呼び出してVLAN属性を解析します。もしnfqa_parse_bridge()がエラーを返した場合（例：NFQA_VLANが存在するがNFQA_VLAN_TCIが欠落している場合など）、関数はキューから削除されたエントリやそのsk_buffを解放せずにすぐに戻ってしまいます。これにより、nf_queue_entry、その関連するsk_buff、および保持されているすべての参照（net_deviceの参照カウント、struct netの参照カウント）がリークします。繰り返しトリガーされることでカーネルメモリが枯渇します。この問題は、ファイル内の他のエラー処理と一貫して、エラー経路でNF_DROP判定を伴うnfqnl_reinject()を通じてエントリを破棄することで修正されました。

Linuxカーネルにおいて、mctpのi2c受信パスで発生していたskbメモリリークの問題が修正されました。midev-allow_rxがfalseの場合、新たに割り当てられたskbがnetif_rx()によって消費されず、開発者が直接解放する必要がありました。

Linuxカーネルにおいて、net/mlx5ドライバがswitchdevモードに移行する際にIPsecリソースの誤ったクリーンアップが原因でクラッシュが発生する問題が修正されました。

Linuxカーネルには、devlinkロックとesw-wq間のデッドロックを修正する脆弱性があります。この問題は、esw-work_queueでのイベントハンドラー実行中にdevlinkロックと作業キューのフラッシュが同時に発生することで起こりました。修正では、作業のフラッシュを行わずに世代カウンターを使用して作業の関連性を管理し、古いハンドラーがモード変更後のeswを操作しないようにしました。これにより、デッドロックの可能性が排除され、作業キューの破棄時にはすべてのイベントが無効化され終了していることが保証されます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。nfs: nfs3_proc_createでd_aliasがディレクトリの場合にEISDIRを返します。nfs3_do_create/nfs_add_or_obtain/d_splice_aliasを通じてエイリアスを見つけた場合、それがディレクトリのdentryであってもエラーを返さずに単にそのエイリアスを無視しますが、追加していた元のdentry（パラメータとして渡されたもの）はネガティブな状態のまま残されます。これにより、後にnfs_atomic_open_v23/finish_openでネガティブなdentryをdo_dentry_openに渡す際にoopsが発生します。この問題はlustre-racerの実行中に観察されており、同じ名前のディレクトリとファイルが同時に作成・削除され、ファイルオープン時にO_EXCLが使用されていない状況（頻繁なファイルリダイレクション）で発生します。d_splice_aliasは通常ディレクトリエイリアスかNULLを返しますが、ファイル操作（finish_openのような）をディレクトリinodeに対して行ってしまうことを防ぐためにd_is_dir()を明示的にチェックし、これにより今回観察されたoopsが引き起こされないようにしています。

Linuxカーネルにおいて、以下の脆弱性が修正されました。unshare: unshare_fs()の処理を修正しました。unshare(2)には複雑な隅角ケースがあります。flagsにCLONE_NEWNSがあり、かつcurrent-fsがまったく共有されていなかった場合、copy_mnt_ns()にprivateなコピーではなくcurrent-fsが渡されます。これにより、正当性の証明において興味深い問題が生じます。privateがfs-users == 1を意味する場合でも、この条件は真のままである可能性があります。不幸にも、これは単に複雑な正当性の証明以上に悪い問題です。CLONE_NEWCGROUPがCLONE_NEWNSに加わり(current-fs-users == 1である)場合を考えます。current-fsをcopy_mnt_ns()に渡し、成功してcurrent-fs-{pwd,root}が新しい名前空間の対応する場所に切り替わったとします。次にcopy_cgroup_ns()を実行しますが失敗します（例えば-ENOMEMで）。copy_mnt_ns()で作成された名前空間に対してput_mnt_ns()を呼び出すと、それは破壊されマウントツリーは解体されます。しかし、current-fs-rootとcurrent-fs-pwdは切り離されたマウントを指したままです。これらは参照を保持しているためUse-After-Freeではありませんが、unshare(2)が-ENOMEMで失敗しつつ、pwdとrootが切り離された孤立したマウントを指し続けるのは明確なバグです。この問題に関連する別の問題（例：pivot_root()との競合やfork()との競合）も存在しますが、この問題は分離して簡単に修正できます。CLONE_NEWNSを「最初から共有されていなくても新しいfs_structを割り当てる」と扱う修正です。もちろん、「CLONE_NEWNSかつcreate_new_namespaces()のcopy_mnt_ns()呼び出し後に失敗する可能性のある条件がある場合に新しいfs_structを強制的に割り当てる」という方法もありますが、シンプルにしておきましょう。copy_fs_struct()のコストは微小です。もう一つの利点は、CLONE_NEWNSでのcopy_mnt_ns()は常に新規割り当ての、まだ何にも関連付けられていないfs_structを受け取るため、解析が大幅に簡単になることです。ちなみに、このバグはunshare(2)が導入されて以来存在していました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：scsi: mpi3mrにおいて、リクエストキューとリプライキューのリセット時にNULLチェックを追加しました。このドライバは、リプライキューおよびリクエストキューが解放済みメモリのままでNULLになっていたため、リソースクリーンアップ中にクラッシュが発生していました。この問題は、リプライキューまたはリクエストキューの作成に失敗し、ドライバが最初にメモリを解放した後で、解放済みメモリの内容をmemsetしようとしたためにシステムがクラッシュしたものです。クリーンアップ時にリプライキューおよびリクエストキューのメモリへアクセスする前に、NULLポインタのチェックを追加しました。

Linuxカーネルのfsファイル属性取得処理において、未初期化の変数が使用される脆弱性が修正されました。この問題はsyzbotによって報告され、file_kattr構造体の初期化が不足していたことが原因でした。本修正により、vfs_fileattr_getを呼び出す前にflags_validが確実に初期化されるようになりました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。scsi: storvsc: PREEMPT_RT環境下でのatomic中のスケジューリングに関する修正です。本修正により、Hyper-V上でPREEMPT_RTが有効な状態で動作させた際に発生していたクラッシュおよびロックアップが解決されます。[ 415.140818] BUG: scheduling while atomic: stress-ng-iomix/1048/0x00000002 [ 415.140822] INFO: lockdep is turned off。詳細なトレース情報により、storvsc_queuecommand関数でロックが保持された状態のスケジューリングが問題を引き起こしていたことが示されています。この修正はこの問題を解消し、PREEMPT_RTが有効な環境におけるシステムの安定性を向上させます。

Rsync バージョン 3.4.2 以前には、chroot を使用して設定された場合に、rsync デーモンのホスト名ベースのアクセス制御リストの適用に認証バイパスの脆弱性が存在します。攻撃者は送信元 IP アドレスの PTR レコードを操作することでホスト名ベースの拒否ルールを回避でき、逆引き DNS 解決に失敗して UNKNOWN にデフォルト設定された場合でも、管理者が拒否することを意図したホスト名からの接続を許可させることが可能です。

Rsyncバージョン3.4.2およびそれ以前には、chmod、lchown、utimes、rename、unlink、mkdir、symlink、mknod、link、rmdir、およびlstatを含むパスベースのシステムコールにシンボリックリンク競合状態の脆弱性が存在します。この脆弱性により、ローカルの攻撃者がエクスポートされたrsyncモジュール外のファイルへの操作をリダイレクトできる可能性があります。ローカルファイルシステムへのアクセス権を持つ攻撃者は、パス解決とシステムコール実行の間のタイミングウィンドウを利用してシンボリックリンクを入れ替えることができ、'use chroot = no'に設定されたrsyncデーモンにおいて、送信者から提供された権限、所有権、タイムスタンプ、またはファイル名を意図されたモジュール境界外の任意のファイルに適用することが可能です。

Rsync バージョン 3.4.2 およびそれ以前には、receiver.c の recv_files() に受信側の境界外配列読み取りの脆弱性が存在し、悪意のある rsync サーバーが rsync クライアントプロセスをクラッシュさせる可能性があります。攻撃者は、互換性フラグで CF_INC_RECURSE を設定し、最初のソートされたエントリが先頭のドットディレクトリでなく、続いて ndx=0 の転送レコードと ITEM_TRANSFER を含まない iflag ワードを持つ特別に細工されたファイルリストを送信することで、この脆弱性を悪用できます。これにより、受信側は割り当てられたポインター配列の8バイト前を読み取り、マップされていないアドレスの無効なポインターを逆参照して、rsync クライアントが決定的な SIGSEGV クラッシュを引き起こします。