JVNDB-2026-031064

Samba Projectのrsyncにおけるセキュリティ決定の信頼できない入力への依存に関する脆弱性

rsync 3.5.0 未満のバージョンには、不適切なパス処理に関する脆弱性が存在します。この脆弱性により、悪意のある送信者が細工されたファイルリストを送信し、rsync が暗黙の親ディレクトリエントリを再分類したり、合成パスを転送ルートとして扱ったりすることで、--delete 操作の適用範囲を意図した宛先サブツリーを超えて拡大させることが可能になります。攻撃者は、暗黙の親再分類、合成ルートパスの構築、バージョン 3.0 未満のレガシープロトコルの動作、非ディレクトリルートの処理など複数のバリエーションを悪用し、受信側で許可されていない宛先ディレクトリ外のファイル削除を引き起こすことができます。

Samba Project

• rsync 3.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : rsync: malicious sender expands --delete scope by reclassifying an implied parent  Advisory  RsyncProject/rsync  GitHub

VulnCheck

• VulnCheck : rsync < 3.5.0 Arbitrary File Deletion via Malicious File List  | Advisories | VulnCheck

1. セキュリティ決定の信頼できない入力への依存(CWE-807) [その他]

1. CVE-2026-53789

1. National Vulnerability Database (NVD) : CVE-2026-53789
2. 関連文書 : Release v3.5.0  RsyncProject/rsync  GitHub

• [2026年09月01日]
    掲載