宝塔面板CVE-2022-29154【RHSA-2022:6170】Linux系统漏洞怎么修复-谷歌大脑

宝塔面板发现以下系统软件存在安全漏洞：
rsync-3.1.2-4.el7 版本低于 3.1.2-11.el7_9
涉及漏洞：CVE-2022-29154
漏洞描述：The rsync utility enables the users to copy and synchronize files locally or across a network. Synchronization with rsync is fast because rsync only sends the differences in files over the network instead of sending whole files. The rsync utility is also used as a mirroring tool.......
详情参考官方公告：https://access.redhat.com/errata/RHSA-2022:6170

CVE-2022-29154是什么？

CVE-2022-29154 是一个关于 rsync 的安全漏洞，该漏洞允许恶意的远程服务器在连接的客户端的 rsync 目标目录及其子目录中写入任意文件。这个漏洞可能被用于进一步利用客户端机器，通过覆盖敏感文件。

以下是关于 CVE-2022-29154 的一些关键信息：

受影响的系统和版本：根据阿里云漏洞库的信息，受影响的系统和 rsync 版本包括但不限于 openSUSE、Oracle、Red Hat、Rocky Linux、SUSE 和 Ubuntu 的特定版本。这些系统的 rsync 版本在某个特定的版本号之前（不包括该版本号），都可能受到该漏洞的影响。
漏洞描述：GitHub Advisory Database 提供了关于此漏洞的基本信息，但未提供受影响的版本信息。
解决措施：Red Hat Customer Portal 建议仅连接到可信任的 Rsync 服务器，并通过可信的渠道进行连接，以帮助降低此漏洞的风险。
CVSS 分数：根据 Red Hat Customer Portal，此漏洞的 CVSS v3 Base Score 为 7.4，属于高严重性等级。攻击向量为网络，攻击复杂性为高，无需特权即可利用，用户交互不需要，影响范围不变，机密性影响为无，完整性和可用性影响均为高。
Ubuntu 安全页面：Ubuntu 的安全页面也提到了这个 CVE，指出 rsync 版本在 3.2.5 之前的版本存在问题，恶意远程服务器可以利用此漏洞写入任意文件。
OpenCVE：OpenCVE 也记录了这个 CVE，提供了类似的信息，指出恶意远程服务器可以利用此漏洞写入任意文件。