rsync 3.5.0 공개 - 보안 결함 33건 한 번에 수정, 심볼릭 링크와 데몬 프로토콜 대거 손질
파일 동기화 도구로 널리 쓰이는 rsync가 지난 8월 13일 3.5.0 버전을 공개했습니다. 이번 릴리스는 보안 결함 33건을 한꺼번에 고친 대형 보안 업데이트입니다. 개발진은 릴리스 노트(NEWS)에서 이 버전을 여러 달에 걸쳐 준비한 "보기 드문(extraordinary) 릴리스"라고 표현했습니다. 문제 대부분은 rsync의 경로 처리 방식과 데몬 프로토콜을 집중 감사하고, 데몬 프로토콜을 대상으로 퍼징을 돌리는 과정에서 발견됐다고 합니다.
가장 등급이 높은 것은 CVE-2026-53791로 심각(Critical)으로 분류됐습니다. proxy protocol = true 설정을 쓰는 rsync 데몬에서, 신뢰된 프록시를 거치지 않고 직접 접속한 클라이언트가 PROXY 헤더를 스스로 실어 보내 출발지 IP를 위조할 수 있는 문제입니다. 이렇게 되면 IP 기반 접근 제어를 우회할 여지가 생깁니다. 나머지 상당수는 심볼릭 링크와 연관된 결함으로, 링크를 통해 의도하지 않은 파일을 읽거나 쓰는 경우, chroot 격리를 벗어나는 경우, 수신측과 송신측에서 경쟁 상태(race condition)가 나는 경우 등이 포함됩니다. 필터 처리와 인자 파싱, 하드링크 처리 쪽의 힙 메모리 안전성 문제도 함께 수정됐습니다.
수정과 함께 기본 동작이 바뀐 부분이 있어 업그레이드 시 확인이 필요합니다. 데몬이 아닌 일반 수신측은 이제 root나 실행 사용자 소유가 아닌 목적지 심볼릭 링크를 거부합니다. proxy protocol = true를 켜두고 proxy protocol hosts를 지정하지 않으면 모든 접속이 거부됩니다. 제한된 하위 디렉터리에서 동작하는 rrsync는 --no-D를 강제하고 --copy-unsafe-links를 막습니다.
rsync는 백업 스크립트, 배포 파이프라인, 서버 간 파일 복제 등 곳곳에 깔려 있는 기본 도구라, 오래 방치하면 그만큼 노출면이 넓어집니다. 특히 rsync 데몬을 외부에 열어두고 운영하는 환경이라면 이번 업데이트 대상에 직접 해당할 수 있어 보입니다. 개발진도 모든 사용자에게 업그레이드를 권고했습니다.
로그인 후 답글을 남길 수 있습니다.