Changed the background color for one table element.
[rsync-web.git] / index.html
1 <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 3.2//EN">
2 <HTML>
3 <HEAD>
4 <TITLE>rsync</TITLE>
5 </HEAD>
6 <!--#include virtual="header.html" -->
7
8 <H2 align="center">Welcome to the rsync web pages</H2>
9
10 rsync is an <A HREF="http://www.opensource.org/">open source</A>
11 utility that provides fast incremental file transfer. rsync is freely
12 available under the <A HREF="GPL.html">GNU General Public
13 License version 2</A>
14
15 <p><i>(If you're using a version of rsync older than 2.6.3, see below for some security advisories.)</i>
16
17 <h3>Rsync 2.6.4 released</h3>
18
19 <p><i style="color:#777777">March 30th, 2005</i>
20
21 <p>Rsync version 2.6.4 has been released.  This release combines quite a
22 few new features, some improved delete efficiency, and the usual array of
23 bug fixes.
24
25 <p>See the <a href="/ftp/rsync/NEWS">release NEWS</a> for the
26 details of what changed since 2.6.3.  You can also read the man pages
27 for <a href="http://rsync.samba.org/ftp/rsync/rsync.html">rsync</a> and
28 <a href="http://rsync.samba.org/ftp/rsync/rsyncd.conf.html">rsyncd.conf</a>.
29
30 <p>See the <a href="download.html">download page</a> for all the ways
31 to grab the new version, or snag one of these:
32 <b><a href="/ftp/rsync/rsync-2.6.4.tar.gz">rsync-2.6.4.tar.gz</a>
33 (<a href="/ftp/rsync/rsync-2.6.4.tar.gz.asc">signature</a>),
34 <a href="/ftp/rsync/rsync-2.6.3-2.6.4.diffs.gz">rsync-2.6.3-2.6.4.diffs.gz</a>
35 (<a href="/ftp/rsync/rsync-2.6.3-2.6.4.diffs.gz.asc">signature</a>)</b>.
36 Note that the diffs do not contain updates for the "patches" dir -- grab the tar
37 file if you want the full release.
38
39
40 <h3>Rsync 2.6.3 released</h3>
41
42 <p><i style="color:#777777">September 30th, 2004</i>
43
44 <p>Rsync version 2.6.3 has been released.  It contains several new features
45 and quite a few bug fixes.
46
47 <p>See the <a href="/ftp/rsync/old-versions/rsync-2.6.3-NEWS">release NEWS</a> for the
48 details of what changed since 2.6.2.
49
50 <a name="security_aug04"></a>
51 <h3 style="color:red">August 2004 Security Advisory</h3>
52
53 <p><i style="color:#777777">August 12th, 2004</i>
54
55 <h4>Background</h4>
56
57 <p>There is a path-sanitizing bug that affects daemon mode in all modern
58 rsync versions through version 2.6.2, but only if chroot is disabled.  It
59 does NOT affect the normal send/receive filenames that specify what
60 files should be transferred (this is because these names happen to get
61 sanitized twice, and thus the second call removes any lingering leading
62 slash(es) that the first call left behind).  It does affect certain
63 option paths that cause auxilliary files to be read or written.
64
65 <h4>The Fix</h4>
66
67 <p>The best fix is to apply this one-word patch to the sanitize_path()
68 function in util.c:
69
70 <pre>
71 --- orig/util.c 2004-04-27 12:59:37 -0700
72 +++ util.c      2004-08-11 23:37:27 -0700
73 @@ -743,7 +743,7 @@
74                                 allowdotdot = 1;
75                         } else {
76                                 p += 2;
77 -                               if (*p == '/')
78 +                               while (*p == '/')
79                                         p++;
80                                 if (sanp != start) {
81                                         /* back up sanp one level */
82 </pre>
83
84 <p>This bug-fix was released in version 2.6.3 of rsync.
85
86 <p>One potential fix that doesn't require recompiling rsync is to set
87 "use chroot = true" for all the modules in the rsyncd.conf file.
88
89
90 <h3>Rsync 2.6.2 released</h3>
91
92 <p><i style="color:#777777">April 30th, 2004</i>
93
94 <p>Rsync version 2.6.2 has been released.  It is a bugfix release that mainly
95 fixes <b>a bug with the --relative option (-R) in 2.6.1</b>
96 that could cause files to be transferred incorrectly.  This only affected a
97 source right at the root of the filesystem, such as "/" or "/*" (if you
98 first "cd /" and then copy from ".", it would not tickle the bug).
99
100 <p>See the <a href="/ftp/rsync/old-versions/rsync-2.6.2-NEWS">release NEWS</a> for the
101 details of what else was fixed.
102
103 <h3>Rsync 2.6.1 released</h3>
104
105 <p><i style="color:#777777">April 26th, 2004</i>
106
107 <p>Rsync version 2.6.1 has been released.  It is primarily a performance
108 release that requires less memory to run, makes fewer write calls to the socket
109 (lowering the system CPU time), does less string copying (lowering the user CPU
110 time), and also reduces the amount of data that is transmitted over the wire.
111 There have also been quite a few bug fixes.  See the
112 <a href="/ftp/rsync/old-versions/rsync-2.6.1-NEWS">release NEWS</a> for the full
113 details.
114
115 <a name="security_apr04"></a>
116 <h3 style="color:red">April 2004 Security Advisory</h3>
117
118 <p><i style="color:#777777">April 26th, 2004</i>
119
120 <p>There is a security problem in all versions prior to 2.6.1 that affects only
121 people running a read/write daemon WITHOUT using chroot.  If the user privs
122 that such an rsync daemon is using is anything above "nobody", you are at risk
123 of someone crafting an attack that could write a file outside of the module's
124 "path" setting (where all its files should be stored).  Please either enable
125 chroot or upgrade to 2.6.1.  People not running a daemon, running a read-only
126 daemon, or running a chrooted daemon are totally unaffected.
127
128 <h3>One Cygwin hang-problem resolved</h3>
129
130 <p>The problem with rsync hanging at the end of the transfer on
131 <a href="http://www.cygwin.com/">Cygwin</a> had been previously traced to a
132 signal-handling bug in their compatibility DLL.  This bug appears to now be
133 fixed in DLL version 1.5.7-1, and Cygwin users are reporting that upgrading the
134 DLL removes the hang-at-end-of-transfer problem for their existing rsync executable.
135 (Note that this doesn't solve a hang that some folks see in the middle of a
136 transfer -- using daemon mode instead of ssh can work around that one.)
137
138 <a name="two_six"></a>
139 <h3>Rsync 2.6.0 released</h3>
140
141 <p><i style="color:#777777">January 1st, 2004</i>
142
143 <P> Two important things to note in the new release:
144
145 <ol>
146
147 <li>The default remote shell is now "ssh" unless you tell configure you want to
148 make something else the default.
149
150 <li>Some bug fixes in the include/exclude code, while making things work
151 properly, have resulted in some user-visible changes for certain wildcard
152 strings.  Read the BUG FIXES section in the
153 <a href="/ftp/rsync/old-versions/rsync-2.6.0-NEWS">NEWS file</a> to see if
154 any of these changes apply to you.
155 (Most people should be unaffected.)
156
157 </ol>
158
159 <p>One other item of note is that the oft-requested option "--files-from" is now
160 available.  This option lets you specify a list of files to transfer, and can
161 be much more efficient than a recursive descent using include/exclude
162 statements (if you know in advance what files you want to transfer).  The list
163 of files can come from either side of the connection, so it is possible for a
164 server to provide the file-list that lets someone grab a server-specified set of
165 files, for example.  See the <a href="/ftp/rsync/rsync.html">rsync man page</a>
166 for more details.
167
168 <p>For a full list of changes in version 2.6.0, see the
169 <a href="/ftp/rsync/old-versions/rsync-2.6.0-NEWS">release NEWS</a>.
170
171 <a name="security_dec03"></a>
172 <h3 style="color:red">December 2003 Security Advisory</h3>
173
174 <p><i style="color:#777777">December 4th, 2003</i>
175
176 <h4>Background</h4>
177
178 <p>The rsync team has received evidence that a vulnerability in rsync was
179 recently used in combination with a Linux kernel vulnerability to
180 compromise the security of a public rsync server. While the forensic
181 evidence we have is incomplete, we have pieced together the most
182 likely way that this attack was conducted and we are releasing this
183 advisory as a result of our investigations to date.
184
185 <p>
186 Our conclusions are that:
187
188 <ul>
189
190 <li>rsync version 2.5.6 and earlier contains a heap overflow vulnerability that can
191    be used to remotely run arbitrary code.
192
193 <li>While this heap overflow vulnerability could not be used by itself
194    to obtain root access on a rsync server, it could be used in
195    combination with the recently announced brk vulnerability in the
196    Linux kernel to produce a full remote compromise.
197
198 <li>The server that was compromised was using a non-default rsyncd.conf
199    option <tt>"use chroot = no"</tt>. The use of this option made the attack on
200    the compromised server considerably easier. A successful attack is
201    almost certainly still possible without this option, but it would
202    be much more difficult.
203 </ul>
204
205 <p>
206 Please note that this vulnerability only affects the use of rsync as a
207 "rsync server". To see if you are running a rsync server you should
208 use the netstat command to see if you are listening on TCP port
209 873. If you are not listening on TCP port 873 then you are not running
210 a rsync server.
211
212 <h4>New rsync release</h4>
213
214 <p>
215 In response we have released a new version of rsync, version
216 2.5.7. This is based on the current stable 2.5.6 release with only the
217 changes necessary to prevent this heap overflow vulnerability. There
218 are no new features in this release.
219 <p>
220 We recommend that anyone running a rsync server take the following
221 steps:
222 <ol>
223 <li>
224  Update to (at least) rsync version 2.5.7 immediately.
225 <li>
226  If you are running a Linux kernel prior to version 2.4.23 then
227       you should upgrade your kernel immediately. Note that some
228       distribution vendors may have patched versions of the 2.4.x
229       series kernel that fix the brk vulnerability in versions before
230       2.4.23. Check with your vendor security site to ensure that you
231       are not vulnerable to the <tt>brk</tt> problem.
232 <li>
233  Review your <tt>/etc/rsyncd.conf</tt> configuration file. If you are
234       using the option <tt>"use chroot = no"</tt> then remove that line or
235       change it to <tt>"use chroot = yes"</tt>.  If you find that you need that
236       option for your rsync service then you should disable your rsync
237       service until you have discussed a workaround with the rsync
238       maintainers on the rsync mailing list.  The disabling of the
239       chroot option should not be needed for any normal rsync server.
240 </ol>
241
242 <p>The patches and full source for rsync version 2.5.7 are available from
243 <a href="http://rsync.samba.org/">http://rsync.samba.org/</a> and mirror sites. We expect that vendors will
244 produce updated packages for their distributions shortly.
245
246 <h4>Credits</h4>
247
248 <p>
249 The rsync team would like to thank the following individuals for their
250 assistance in investigating this vulnerability and producing this
251 response:
252 <ul>
253
254 <li>Timo Sirainen &lt;tss.iki.fi&gt;
255 <li>Mike Warfield &lt;mhw.wittsend.com&gt;
256 <li>Paul Russell &lt;rusty.samba.org&gt;
257 <li>Andrea Barisani &lt;lcars.gentoo.org&gt;
258 </ul>
259
260 <p>        
261 The Common Vulnerabilities and Exposures project (cve.mitre.org) has
262 assigned the name 
263 <a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0962">CAN-2003-0962</a> 
264 to this issue.
265
266 <p>
267 Regards,
268 <p>
269 The rsync team
270
271 <!--#include virtual="footer.html" -->