rsyncに33件の脆弱性、デーモン運用は3.5系へ更新を

やること

rsync（ファイルの同期やバックアップに使うソフト）を 3.5.0 以降へ更新してください。最新は11月4日の 3.5.2 です。

• 3.2.x と 3.4.x を使い続ける場合は、開発チームがパッチの一式を用意しています。公開の場所は GitHub のタグ v3.2.7-sec-patches3 と v3.4.1-sec-patches3 です
• Debian 13 は DSA-6527-1 で修正済みですが、Debian 12 はトラッカーでは未修正のままです
• Ubuntu は CVE-2026-53791 を「確認中」としています。33件に対応する USN（Ubuntu のセキュリティ通知）は、11月7日の時点で見つかりません

Ubuntu のパッケージは修正を入れても公式のバージョン番号へは上がらないことがあるので、rsync --version の番号だけでは判断できません。USN が出たら apt で更新し、それまではデーモンに外から接続できないようにしてください。

更新できない場合の設定も、公式の NEWS に書かれています。

• proxy protocol を使っていない場合は、proxy protocol = true を入れないでください。3.5.0 以降は、proxy protocol hosts が空のまま有効にすると全部の接続を断ります
• use chroot = yes にすると、モジュールの外のファイルを配信してしまう欠陥（CVE-2026-53784）の条件から外れます。この欠陥は use chroot = no のときに当たります
• NEWS にある --insecure-links（モジュールの設定では insecure links = yes）は、新しい保護を外して旧来の動きに戻します。互換のために使うと、直した欠陥が戻ります

何が危ないのか

開発チームは8月13日に 3.5.0 を公開し、33件の CVE を修正しました。Critical が1件、High が17件、Medium が15件です。33件の内訳は、デーモンの認証前の接続処理、ファイルを開くときのシンボリックリンクの扱い、引数や受け取った一覧の処理など、幅広い範囲にわたります。

最も重いのは CVE-2026-53791 で、CVSS は 9.1 です。デーモンの proxy protocol（中継役のサーバーが元の接続元を伝える仕組み）を有効にしていると、直接つないだ相手が送信元を偽り、hosts allow と hosts deny の制限を回避できます。認証は要らず、ネットワークから届きます。

CVE-2026-70456 は受け取った引数の処理でメモリの範囲外に書き込む欠陥で、CVSS は v4.0 で 8.8（v3.1 では 8.2）です。悪意のある送信側が細工した引数の一覧を送ると、隣のメモリが壊れます。

そのほか次のようなものがあります。

• CVE-2026-53784：use chroot = no のとき、モジュールの外のファイルを配信してしまう
• CVE-2026-70452：hosts deny に名前を引けないホストがあると、止めるはずの接続を通してしまう
• CVE-2026-70464：認証の前の接続が挨拶のあとで止まったまま残り、max connections を超えて居座る
• CVE-2026-70454：rsync-ssl の stunnel モードが証明書の確認をせず、相手の正しさを確かめずに TLS をつなぐ

悪用の確認は公表されていません。CVE 記録に載った CISA の評価も、悪用の状況は「なし」です。

対象

CVE-2026-53791 は 3.4.4 以前が対象で、CVE-2026-70456 は 3.0.1 から 3.4.4 までです。33件の多くはデーモンの欠陥なので、デーモンを動かすサーバーを優先してください。

受信側やクライアントに当たる欠陥もあるので、SSH 越しに使う場合も更新の対象から外さないでください。シンボリックリンクを使った競合の欠陥は、同じサーバーにログインできる人が手元のファイルを差し替える前提のものが中心です。共有のサーバーでバックアップを取る場合は、この前提に当たります。

中小企業が学べること

rsync のデーモン（rsyncd）は、設定ファイルの hosts allow で接続元を絞っているだけだと、今回のように制限を回避されたときに外へ開いたのと同じ状態になります。デーモンを置くなら、ファイアウォールかVPNで接続元のネットワークを先に絞り、hosts allow はその内側の二重の備えにします。

バックアップ用のモジュールには、書き込み用と読み取り用で別のアカウントを使い、read only = yes を基本にします。バックアップ先のサーバーが侵入されても、元のサーバーのファイルを書き換えられないようにするためです。

バージョン番号が公式と違うディストリビューションのパッケージでは、rsync --version だけで判断できません。OS の提供元の CVE のページで、自分の版が「修正済み」か「確認中」かを見る習慣をつけてください。