К списку уязвимостей
CVE-2024-12087
Rsync: path traversal vulnerability in rsync
Публикация: 14.01.2025·Обновлена: 03.11.2026, 21:20·Europe/Moscow
Что произошло
Автоперевод выключен · оригинальное описание
A path traversal vulnerability exists in rsync. It stems from behavior enabled by the `--inc-recursive` option, a default-enabled option for many client options and can be enabled by the server even if not explicitly enabled by the client. When using the `--inc-recursive` option, a lack of proper symlink verification coupled with deduplication checks occurring on a per-file-list basis could allow a server to write files outside of the client's intended destination directory. A malicious server could write malicious files to arbitrary locations named after valid directories/paths on the client.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 7 дней
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
Debian / Ubuntu
dpkg-query -W -f='${Package} ${Version}\n'RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
Общая рекомендация, не из бюллетеня вендора
3. Временные меры
Mitigation for this issue is either not available or the currently available options do not meet the Red Hat Product Security criteria comprising ease of use and deployment, applicability to widespread installation base or stability.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
Общая рекомендация, не из бюллетеня вендора
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
{
"status": "affected",
"version": "0",
"versionType": "semver",
"lessThanOrEqual": "3.3.0"
}Red Hat / Red Hat Enterprise Linux 10
{
"status": "unaffected",
"version": "0:3.4.1-2.el10",
"lessThan": "*",
"versionType": "rpm"
}cpe:/o:redhat:enterprise_linux:10.0
Red Hat / Red Hat Enterprise Linux 6 Extended Lifecycle Support - EXTENSION
{
"status": "unaffected",
"version": "0:3.0.6-12.el6_10.2",
"lessThan": "*",
"versionType": "rpm"
}cpe:/o:redhat:rhel_els:6
Red Hat / Red Hat Enterprise Linux 7 Extended Lifecycle Support
{
"status": "unaffected",
"version": "0:3.1.2-12.el7_9.2",
"lessThan": "*",
"versionType": "rpm"
}cpe:/o:redhat:rhel_els:7
Red Hat / Red Hat Enterprise Linux 8
{
"status": "unaffected",
"version": "0:3.1.3-21.el8_10",
"lessThan": "*",
"versionType": "rpm"
}cpe:/o:redhat:enterprise_linux:8::baseos
Red Hat / Red Hat Enterprise Linux 8.2 Advanced Update Support
{
"status": "unaffected",
"version": "0:3.1.3-7.el8_2.6",
"lessThan": "*",
"versionType": "rpm"
}cpe:/o:redhat:rhel_aus:8.2::baseos
Red Hat / Red Hat Enterprise Linux 8.4 Advanced Mission Critical Update Support
{
"status": "unaffected",
"version": "0:3.1.3-12.el8_4.6",
"lessThan": "*",
"versionType": "rpm"
}cpe:/o:redhat:rhel_aus:8.4::baseos
cpe:/o:redhat:rhel_eus_long_life:8.4::baseos
Red Hat / Red Hat Enterprise Linux 8.4 Extended Update Support Long-Life Add-On
{
"status": "unaffected",
"version": "0:3.1.3-12.el8_4.6",
"lessThan": "*",
"versionType": "rpm"
}cpe:/o:redhat:rhel_aus:8.4::baseos
cpe:/o:redhat:rhel_eus_long_life:8.4::baseos
Red Hat / Red Hat Enterprise Linux 8.6 Advanced Mission Critical Update Support
{
"status": "unaffected",
"version": "0:3.1.3-14.el8_6.9",
"lessThan": "*",
"versionType": "rpm"
}cpe:/o:redhat:rhel_aus:8.6::baseos
cpe:/o:redhat:rhel_e4s:8.6::baseos
cpe:/o:redhat:rhel_tus:8.6::baseos
Red Hat / Red Hat Enterprise Linux 8.6 Telecommunications Update Service
{
"status": "unaffected",
"version": "0:3.1.3-14.el8_6.9",
"lessThan": "*",
"versionType": "rpm"
}cpe:/o:redhat:rhel_aus:8.6::baseos
cpe:/o:redhat:rhel_e4s:8.6::baseos
cpe:/o:redhat:rhel_tus:8.6::baseos
Red Hat / Red Hat Enterprise Linux 8.6 Update Services for SAP Solutions
{
"status": "unaffected",
"version": "0:3.1.3-14.el8_6.9",
"lessThan": "*",
"versionType": "rpm"
}cpe:/o:redhat:rhel_aus:8.6::baseos
cpe:/o:redhat:rhel_e4s:8.6::baseos
cpe:/o:redhat:rhel_tus:8.6::baseos
Red Hat / Red Hat Enterprise Linux 8.8 Telecommunications Update Service
{
"status": "unaffected",
"version": "0:3.1.3-20.el8_8.4",
"lessThan": "*",
"versionType": "rpm"
}cpe:/o:redhat:rhel_e4s:8.8::baseos
cpe:/o:redhat:rhel_tus:8.8::baseos
Red Hat / Red Hat Enterprise Linux 8.8 Update Services for SAP Solutions
{
"status": "unaffected",
"version": "0:3.1.3-20.el8_8.4",
"lessThan": "*",
"versionType": "rpm"
}cpe:/o:redhat:rhel_e4s:8.8::baseos
cpe:/o:redhat:rhel_tus:8.8::baseos
Red Hat / Red Hat Enterprise Linux 9
{
"status": "unaffected",
"version": "0:3.2.5-3.el9",
"lessThan": "*",
"versionType": "rpm"
}cpe:/a:redhat:enterprise_linux:9::appstream
cpe:/o:redhat:enterprise_linux:9::baseos
Red Hat / Red Hat Enterprise Linux 9.0 Update Services for SAP Solutions
{
"status": "unaffected",
"version": "0:3.2.3-9.el9_0.4",
"lessThan": "*",
"versionType": "rpm"
}cpe:/a:redhat:rhel_e4s:9.0::appstream
cpe:/o:redhat:rhel_e4s:9.0::baseos
Red Hat / Red Hat Enterprise Linux 9.2 Update Services for SAP Solutions
{
"status": "unaffected",
"version": "0:3.2.3-19.el9_2.2",
"lessThan": "*",
"versionType": "rpm"
}cpe:/a:redhat:rhel_e4s:9.2::appstream
cpe:/o:redhat:rhel_e4s:9.2::baseos
Red Hat / Red Hat Enterprise Linux 9.4 Extended Update Support
{
"status": "unaffected",
"version": "0:3.2.3-19.el9_4.2",
"lessThan": "*",
"versionType": "rpm"
}cpe:/a:redhat:rhel_eus:9.4::appstream
cpe:/o:redhat:rhel_eus:9.4::baseos
Red Hat / Red Hat Discovery 1.14
{
"status": "unaffected",
"version": "1.14.2-1748467619",
"lessThan": "*",
"versionType": "rpm"
}cpe:/a:redhat:discovery:1.14::el9
Red Hat / Red Hat OpenShift Container Platform 4
cpe:/a:redhat:openshift:4
CVSS: оценки и векторы
CVSS 3.1 · cve6.5
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователятребуется
S · Область воздействияне меняется
C · Конфиденциальностьнет
I · Целостностьвысокое
A · Доступностьнет
Источники и ссылки
Бюллетень вендора · access.redhat.com · cveБюллетень вендора · access.redhat.com · cveБюллетень вендора · access.redhat.com · cveБюллетень вендора · access.redhat.com · cveБюллетень вендора · access.redhat.com · cveБюллетень вендора · access.redhat.com · cveБюллетень вендора · access.redhat.com · cveБюллетень вендора · access.redhat.com · cveБюллетень вендора · access.redhat.com · cveБюллетень вендора · access.redhat.com · cveБюллетень вендора · access.redhat.com · cveБюллетень вендора · access.redhat.com · cveБюллетень вендора · access.redhat.com · cveМатериал · access.redhat.com · cveМатериал · bugzilla.redhat.com · cveМатериал · kb.cert.org · cvePoC / эксплойт · github.com · cveМатериал · security.netapp.com · cveМатериал · lists.debian.org · cveМатериал · www.kb.cert.org · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
"cwes": [
"cve"
],
"epss": {
"source": "epss",
"received_at": "2026-11-04T21:07:03.134189+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-11-03T18:37:27.099183+00:00"
},
"scores": [
"cve"
],
"status": {
"source": "cve",
"received_at": "2026-11-03T18:37:27.099183+00:00"
},
"affected": [
"cve"
],
"published": {
"source": "cve",
"received_at": "2026-11-03T18:37:27.099183+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-11-04T21:07:03.134189+00:00"
},
"references": [
"cve"
],
"description": {
"source": "cve",
"received_at": "2026-11-03T18:37:27.099183+00:00"
},
"workarounds": [
"cve"
],
"configurations": []
}Хронология записи
- Данные обновлены05.11.2026, 00:07
- Данные обновлены04.11.2026, 00:06
- Данные обновлены02.11.2026, 00:05
- Данные обновлены31.10.2026, 11:52
- Данные обновлены30.10.2026, 12:31
- Данные обновлены29.10.2026, 09:58
- Появилась ссылка на PoC29.10.2026, 03:37
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2024-12747 Rsync: race condition in rsync handling symbolic links · Red Hat / Red Hat Enterprise Linux 10 | Средний | 5.6 | 0,39 % | 14.01.2025 | ||
| CVE-2024-12243 Gnutls: gnutls impacted by inefficient der decoding in libtasn1 leading to remote dos · Red Hat / Red Hat Enterprise Linux 8 | Средний | 5.3 | 1,29 % | 10.02.2025 | ||
| CVE-2024-12133 Libtasn1: inefficient der decoding in libtasn1 leading to potential remote dos · Red Hat / Red Hat Enterprise Linux 8 | Средний | 5.3 | 1,11 % | 10.02.2025 | ||
| CVE-2024-12088 Rsync: --safe-links option bypass leads to path traversal · Red Hat / Red Hat Enterprise Linux 10 | Критический | 7.5 | 4,65 % | PoC | 14.01.2025 | |
| CVE-2025-26465 Openssh: machine-in-the-middle attack if verifyhostkeydns is enabled · Red Hat / Red Hat Enterprise Linux 8 | Высокий | 6.8 | 7,72 % | PoC | 18.02.2025 |