「rsync 3.5.2」リリース ─ CPU枯渇を招く脆弱性を修正

　rsync Projectは11月4日(現地時間)、ファイル同期ツールの最新版「rsync 3.5.2」をリリースした。

　「rsync」は、ファイル全体ではなく変更された部分を転送する差分転送アルゴリズムを備えたオープンソースのファイルコピー／同期ツール。ローカル環境やSSH経由のバックアップ、サーバー間同期、公開ミラーの配布などに広く利用されている。

　「rsync 3.5.2」は、rsync 3.5系列の最新安定版となるアップデートリリース。悪意のある受信側によって送信側のCPU資源を枯渇させられる脆弱性「CVE-2026-119741」が修正されたほか、中断した転送、制限付きrsync環境、デーモンモードなどに関する問題が修正された。

　「rsync 3.5.2」のハイライトは次の通り。
〇細工した弱いチェックサムによるCPU枯渇問題を修正（CVE-2026-119741）
〇中断した「--append」「--inplace」転送で最後の256KiBが二重に書き込まれる問題を修正
〇既存ファイルへrrsync経由でアップロードできない問題を修正
〇巨大なスパースファイルや同じブロックを繰り返すファイルで照合性能が低下する問題を修正
〇「--inplace」の照合処理で符号付き整数オーバーフローが発生する可能性を修正
〇ハードリンクの作成失敗後に処理が停止または終了する問題を修正
〇ファイル読み取りエラー後のチェックサム処理で範囲外書き込みが発生する問題を修正
〇デーモンの受信処理で削除メッセージが「--max-alloc」へ達した際のスタックオーバーフローを修正
〇デーモンモジュールのサブディレクトリで「--files-from」を使用した際に別のファイルを転送・削除する問題を修正
〇ファイル名や診断メッセージに含まれる端末制御文字をエスケープするように変更
〇CPUとI/Oの優先度を調整する「--nice」オプションを追加
〇シンボリックリンクの作成を他のファイルの転送後まで遅延する「--delay-symlinks」を追加
など。

「rsync」は、Webサイトから入手できる。

(川原 龍人/びぎねっと)

[関連リンク]
リリースアナウンス
NEWS