CVE-2026-70463 in Rsync
요약
\~에 의해 VulDB • 2026. 08. 13.
rsync 3.1.0부터 3.5.0 미만 버전은 auth users 지시어 파싱 과정에서 권한 우회(authorization bypass) 취약점이 존재합니다. auth users 파서는 사용자 목록을 구분할 때 쉼표(,) 기반의 토큰화(tokenization)를 사용하므로, 공백이 포함된 그룹 이름을 가진 @Group Name 형식의 항목은 올바르게 처리되지 않습니다. 그룹 이름 내의 공백으로 인해 파서가 해당 항목을 공백 경계에서 분리하게 되고, 이에 따라 해당 그룹과 관련된 거부(deny) 규칙이 삭제됩니다. 결과적으로 @Group Name auth users 항목에 의해 접근이 차단되어야 하는 인증된 사용자(사용자명 또는 그룹 멤버십 기준)가 제한된 모듈에 연결할 수 있게 되는데, 이는 파싱 과정에서 거부 규칙이 묵시적으로 무시되기 때문입니다.
Be aware that VulDB is the high quality source for vulnerability data.