https://wid.cert-bund.de/portal/wid/secu...D-SEC-2025-0084

Das RSync-Team hat die Version 3.4.1 mit allen Fehlerkorrekturen erstellt. Parallel dazu wurde die RSync-Protokollversion auf 32 angehoben, um auch auf RSync Clients durch diese Protokollversion erkennbar zu machen, dass der RSync Server aktualisiert ist.

In wie fern betrifft das Ihre DX-Union Umgebung?

Linux
Unter Linux wird die jeweils im System installierte RSync Version der Distribution (SLES15 SP5) eingesetzt. Diese Linux RSync Version wird dem nächsten Sicherheitsupdate von SuSE automatisch aktualisiert. Daher sollte, falls vorhanden, Ihr Linux System zeitnah aktualisiert werden.

Windows
Unter Windows verwenden wir die Cygwin RSync Version „rsync version v3.2.5-1-g6ac2c7b6 protocol version 31“.
Unter Windows gibt es hier also Handlungsbedarf. Allerdings nur auf Windows Servern, weil nur der Server-Dienst von RSync (Daemon mode) von den Sicherheitslücken betroffen ist.

Das von uns verwendete RSync ist ein Windows Binary und liegt auf Servern standardmäßig im Pfad „C:\Program Files (x86)\DX-Union\CCD\ccdrsync.exe“ und stellt seinen RSync-Dienst auf Port 8111 zur Verfügung. Der zugehörige DX-Union Dienst heißt „DX-Union CCD-RSync-Dienst“.
Wir werden schnellstmöglich ein aktualisiertes Binary zur Verfügung stellen, welches dann auf ihren Windows Servern manuell ausgetauscht werden sollte.

Da die DX-Union Slave und Master Server mit Port 8111 üblicherweise nicht direkt im Internet erreichbar sind, besteht nur in deren lokalen Netzen die Gefahr der Ausnutzung der RSync-Sicherheitslücken.
Wenn Sie ganz sicher gehen wollen, können Sie den „DX-Union CCD-RSync-Dienst“ deaktivieren und sicherstellen, dass das Binary ccdrsync.exe nicht mehr läuft.

WICHTIG: Wenn diese Maßnahme getroffen wird, funktioniert allerdings die DX-Union CCD-Übertragung, die RSync-Übertragung in Softwarepaketen und das DX-Union Package Studio nicht mehr.

Die neuen Binaries mit den enthaltenen aktuellsten verfügbaren RSYNC Sicherheitspatchen sind fertig.

Im Anhang finden sich die beiden Files
- Rsync_3.4.1.Materna.zip
- Rsync_3.4.1.Materna.checksums.sha256.txt

In der ZIP Datei sind die EXE und DLLs, die in das CCD Verzeichnis der DX-Union Server "C:\Program Files (x86)\DX-Union\CCD\" kopiert werden müssen. Die ccdrsync, ssh EXE Dateien und die DLLs werden dabei überschrieben.
Vorm Austausch muss der "DX-Union CCD-RSync-Dienst" gestoppt werden!
Die ZIP-Datei und die darin enthaltenen Binaries können mit der beiliegenden Checksummen-Datei mit ihren SHA256 Checksummen überprüft werden (PowerShell-CmdLet Get-FileHash).

Die neue RSync Version 3.4.1 als ccdrsync.exe meldet sich bei Aufruf mit "--version" mit den folgenden Version-Infos:

C:\Program Files (x86)\DX-Union\CCD>ccdrsync --version
rsync version 3.4.1 protocol version 32
Copyright (C) 1996-2025 by Andrew Tridgell, Wayne Davison, and others.
Web site: https://rsync.samba.org/
Capabilities:
64-bit files, 64-bit inums, 64-bit timestamps, 64-bit long ints,
socketpairs, symlinks, symtimes, hardlinks, no hardlink-specials,
hardlink-symlinks, IPv6, atimes, batchfiles, inplace, append, ACLs,
xattrs, optional secluded-args, iconv, prealloc, stop-at, crtimes
Optimizations:
no SIMD-roll, no asm-roll, openssl-crypto, no asm-MD5
Checksum list:
xxh128 xxh3 xxh64 (xxhash) md5 md4 sha1 none
Compress list:
zstd lz4 zlibx zlib none
Daemon auth list:
sha512 sha256 sha1 md5 md4