CVE-2026-53791: Kritisk fejl i rsync-daemonen tillader IP-forfalskning

CVE-2026-53791 er en sårbarhed i rsync-daemonen, det program der kører rsync som en tjeneste på netværket og lytter efter forbindelser fra andre servere. Fejlen ligger i håndteringen af PROXY-protokollen, en teknisk metode til at videresende den oprindelige afsender-IP-adresse, når trafik passerer gennem en proxy eller load balancer. En angriber kan sende en forfalsket PROXY-header med en falsk afsender-IP og på den måde omgå de hosts allow og hosts deny-regler, som administratorer bruger til at begrænse, hvilke IP-adresser der må tilgå daemonen. Angrebet kræver ikke login og kan udføres af enhver, der kan oprette en direkte netværksforbindelse til rsync-daemonen.

Sårbarheden rammer virksomheder og kommuner, der kører rsync i daemon-tilstand (rsyncd), typisk til backup, filsynkronisering mellem servere eller distribution af filer mellem lokationer. Det gælder alle versioner af rsync-daemonen før 3.5.0. Rsync brugt via SSH til fjernkopiering er ikke berørt, da det ikke bruger den sårbare daemon-adgangskontrol.

En angriber, der normalt er blokeret af IP-baserede adgangsregler, kan forfalske sin afsender-adresse og få adgang til rsync-daemonen, som var det en betroet server. Det kan give indsigt i fortrolige filer, herunder backupdata, konfigurationsfiler eller kundedata, som daemonen har adgang til. Sårbarheden giver ikke mulighed for at lukke tjenesten ned, men den kan give uautoriseret læse- og i nogle opsætninger skriveadgang til data, der skulle have været afskærmet.

CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver ingen godkendelse, ingen handling fra en bruger, og kan udføres over netværket med lav kompleksitet. Konsekvensen er høj risiko for fortrolighed og integritet, altså at data kan læses eller ændres uretmæssigt, mens tjenestens tilgængelighed ikke påvirkes. Der er ingen oplysninger om, at sårbarheden aktivt udnyttes i angreb ved offentliggørelsen, men den lave angrebskompleksitet betyder, at det kan ændre sig hurtigt.

Sådan lukker I hullet og begrænser risikoen, mens opdateringen implementeres:

1. Opdatér rsync-daemonen til version 3.5.0 eller nyere, det fjerner selve sårbarheden.
2. Kan opdateringen ikke ske med det samme, så sørg for at rsync-daemonen ikke er direkte tilgængelig fra internettet, brug firewall eller VPN til at begrænse adgang.
3. Gennemgå jeres rsyncd.conf og vurdér, om hosts allow og hosts deny er den eneste beskyttelse, tilføj et lag mere, fx netværkssegmentering eller autentificering.
4. Tjek logfiler for uventede forbindelser fra IP-adresser, der normalt skulle være blokeret.
5. Genstart rsync-daemonen efter opdateringen, og bekræft versionen med rsync –version.
6. Hvis I ikke selv kan vurdere jeres rsync-opsætning eller finde daemonen i jeres infrastruktur, bør I hente ekstern hjælp til at kortlægge og lukke sårbarheden.