概要
ファイル同期ツールrsyncの新バージョン3.5が2026年8月13日にリリースされた。今回のリリースでは合計33件のセキュリティ問題が修正されており、その中にはproxy protocol = trueを有効にしたrsyncデーモンに影響する重大な脆弱性CVE-2026-53791が含まれる。この脆弱性は、デーモンに直接接続した攻撃者が独自のPROXYヘッダーを送信できてしまう問題で、送信元IPアドレスを偽装し、ホストベースのアクセス制御を回避される恐れがある。影響範囲の広さと深刻度から、利用者・管理者には速やかなアップグレードが推奨されている。
修正されたセキュリティ問題
33件の修正の中には、シンボリックリンクの扱いに起因する深刻度「High」の複数の脆弱性が含まれており、任意のファイルの読み取りや書き込みにつながる可能性がある。また、フィルタ処理・引数解析・ハードリンク処理においてヒープ領域の範囲外書き込み(heap out-of-bounds write)が発生する問題や、デーモンプロトコル経由で到達可能なメモリ安全性の問題も修正された。このほか、細工されたチェックサムチェーンによってCPUリソースを消費させる二次関数的(quadratic)なDoS攻撃の手法や、悪意のあるピアがクライアントのI/Oタイムアウトを操作できる問題も対処されている。rsync-sslについては証明書検証とホスト名バインディングの強化も行われた。
その他の改善点
セキュリティ修正に加え、いくつかの防御的な機能強化も導入された。制限付きSSHラッパーであるrrsyncには、ディレクトリからの脱出を防ぐ追加の保護機能が加わった。また、ファイル名に含まれる制御文字はログ出力前にエスケープされるようになり、ターミナルインジェクションを防止する。シンボリックリンクされた宛先ディレクトリは、rootまたはrsyncユーザーが所有する場合のみ辿られるよう制限され、proxy protocol = trueが設定されているにもかかわらず信頼するプロキシホストが構成されていない場合は接続が拒否されるようになった。全体として、複数の操作にわたりアクセス制御の検証とパスの閉じ込め(path confinement)が強化されている。
今後の対応
今回のリリースは、ネットワーク越しにアクセス可能な脆弱性を含む大規模なセキュリティ修正パッチであり、特にデーモンモードでrsyncを運用している環境では影響が大きい。CVE-2026-53791はアクセス制御の根幹に関わる問題であるため、proxy protocolを有効にしている管理者は優先的に3.5へのアップグレードを検討すべきである。