rsync 3.5.2 Çıktı: CVE-2026-119741 İşlemciyi Tüketen Açık Kapatıldı, Yeni --nice Seçeneği

CVE-2026-119741 nedir? (rsync CPU exhaustion)

rsync, bir dosyanın yalnız değişen parçalarını göndermek için iki tür sağlama değeri (checksum) kullanır. Önce hızlı hesaplanan "zayıf" bir değerle olası eşleşmeler bulunur, ardından daha ağır "güçlü" değerle eşleşme doğrulanır. Normal bir aktarımda zayıf değer nadiren boş yere tutar, bu yüzden güçlü hesaplama az yapılır.

Açıkta bu denge saldırgan lehine bozuluyor. Kötü niyetli bir alıcı, art arda gelen kayan pencerelerle (rolling window) sürekli çakışan zayıf değerler ve hiçbirine uymayan güçlü değerler gönderiyor. Gönderici taraf her pencerede güçlü değeri hesaplıyor, eşleşme bulamıyor ve bir sonrakine geçiyor. Birkaç eşzamanlı bağlantı sunucunun işlemcisini tamamen doldurmaya yetiyor.

Açık numarasını VulnCheck verdi ve "verimsiz algoritmik karmaşıklık" olarak sınıflandırdı. CVSS 4.0 puanı 8,7, CVSS 3.1 puanı 7,5. Etki yalnızca erişilebilirlik üzerinde; veri okuma ya da değiştirme yok.

Kimler risk altında? (Who is affected)

• Herkese açık rsync daemon'ı çalıştıranlar: Ayna sunucuları, dağıtım depoları, açık dosya paylaşımı yapan kurumlar. Help Net Security'ye göre herkese açık bir daemon modülünde saldırı için hesap bile gerekmiyor.
• Kimlik doğrulamalı daemon kullananlar: Saldırganın geçerli bir hesaba sahip olması gerekiyor; risk daha düşük.
• SSH üzerinden rsync kullananlar: Karşı taraf SSH ile kimliğini doğrulamış olmalı. Tanımadığınız sunuculara veri gönderen betikler (örneğin müşteri sunucusuna yedek iten bir sistem) yine de güncellenmeli; çünkü saldırıyı yapan taraf alıcıdır.

Yedekleme sistemlerinin çoğu rsync kullanır. Gece yedeği sırasında işlemciyi kilitleyen bir saldırı, aynı sunucudaki web sitelerini de yavaşlatır.

Sürüm kontrolü ve güncelleme

rsync --version | head -1

# Daemon çalışıyor mu?
ss -tlnp | grep ':873'
systemctl status rsync 2>/dev/null | head -3

873 numaralı port dinleniyorsa sunucuda rsync daemon'ı açıktır. Dağıtımlar düzeltmeyi kendi paket sürümlerine aktararak yayımlar; bu yüzden sürüm numarası 3.5.2 görünmese de paket yamalı olabilir. Debian ve Ubuntu'da güvenlik takip sayfalarından CVE-2026-119741 durumunu kontrol edin, ardından paketi güncelleyin:

# Debian / Ubuntu
sudo apt update && sudo apt install --only-upgrade rsync

# RHEL / AlmaLinux / Rocky
sudo dnf upgrade rsync

Bugün APT için de bir güvenlik düzeltmesi yayımlandı; apt güncellemesini kurarken nelere dikkat etmeniz gerektiği APT CVE-2026-109518 yazısında.

3.5.2'deki yeni seçenekler (New options)

--nice ve --no-nice

Yeni --nice seçeneği, rsync sürecinin işlemci ve disk (G/Ç) önceliğini ayarlıyor. Ayar yerel süreç, uzak süreç ya da ikisi için ayrı ayrı yapılabiliyor; işlemci ve G/Ç değerleri birbirinden bağımsız. Daemon istemcileri sunucu tarafında yalnız önceliği düşürebilir (işlemci için nice 19, disk için "idle" sınıfı), yükseltemez. Kısıtlı ortamlar için kullanılan rrsync de yalnız yerel düşürmeyi kabul ediyor. Desteklenmeyen ya da reddedilen bir ayarda rsync uyarı verip aktarıma devam ediyor. Uzak taraf ayarlarının çalışması için karşı tarafın da yeni sürümü kullanması gerekiyor; yalnız yerel ayarlar eski sürümlerle de çalışıyor.

Bu seçenek, gündüz saatlerinde çalışan büyük yedeklerin sitelerin hızını düşürmesini önlemek için kullanışlı.

--delay-symlinks

Yeni ya da değişen sembolik bağlantıların oluşturulmasını, diğer dosyalar yerine konana kadar erteliyor. Bu seçenek artımlı özyinelemeyi (incremental recursion) kapatıyor ve --remove-source-files, --hard-links gibi bazı seçeneklerle birlikte kullanılamıyor.

Diğer düzeltmeler (Bug fixes)

• Yarıda kalan aktarımlar: --append ve --inplace ile kesilen bir aktarım, son 256 KiB'lik tamponu iki kez yazabiliyordu. Artık hedef dosyada temiz bir ön kısım kalıyor ve sonraki aktarım doğru devam ediyor.
• Eşleme başarımı: Büyük seyrek dosyalarda ve tekrar eden veri içeren dosyalarda yinelenen sağlama zincirleri arama sınırını dolduruyor, geçerli eşleşmeleri engelliyordu; düzeltildi.
• Daemon çökmesi: Kuyruktaki silme çıktısı --max-alloc sınırına ulaştığında alıcı daemon'da yığın taşması oluşuyordu.
• Bellek güvenliği: Sağlama geçersiz kılma ile ilgili sınır dışı yazma hatası kapatıldı.
• --files-from: Dosyaların yanlış daemon modülü dizininden okunması düzeltildi.
• Sabit bağlantılar: Başarısız bir hard link oluşturma artık işlemi durdurmuyor ya da kilitlemiyor.
• Kısıtlı ortamlarda hedef dosya varken yükleme sorunları, boş satırla başlayan şifre dosyaları, dosya adlarındaki terminal kontrol karakterleri, IPv6 adlı daemon erişim kuralları ve Solaris 10 gibi eski sistemlerle uyumluluk da düzeltildi.

İstatistik çıktısı da değişti: okunabilir değerler üç anlamlı basamakla, ikili birimler "i" ekiyle (KiB, MiB) gösteriliyor ve bazı sayaçlarda binlik ayırıcı var. Bu çıktıyı ayrıştıran betikleriniz varsa güncellemeden sonra kontrol edin.

Yama gelene kadar önlemler

1. Herkese açık olması gerekmeyen rsync daemon'ını kapatın ya da 873 numaralı portu güvenlik duvarında yalnız bilinen IP adreslerine açın.
2. /etc/rsyncd.conf içinde max connections değerini düşük tutun; bu, saldırının etkisini sınırlar.
3. Açık modüllerde hosts allow ile erişimi daraltın.
4. Yedekleri SSH üzerinden ve yalnız tanıdığınız sunuculara yapın.

Alesta WEB'in barındırma hizmetinde rsync daemon'ı dışarıya açık tutulmaz; yedekleme SSH üzerinden yapılır. Sunucu güvenliği ile ilgili diğer konular için OpenSSH 10.6 yazısına bakabilirsiniz.

Sık sorulan sorular

Açık verilerimin çalınmasına yol açar mı?

Hayır. Açığın etkisi yalnız erişilebilirlik üzerinde; işlemciyi tüketerek hizmeti yavaşlatır ya da durdurur.

Yalnız rsync istemcisi kullanıyorum, güncellemeli miyim?

Evet. Saldırıyı alıcı taraf yaptığı için başka bir sunucuya dosya gönderen istemci de etkilenebilir. Güncellemek en kolay önlemdir.

3.5.0 sürümünü kurmuştum, o yeterli değil mi?

Değil. 3.5.0 çok sayıda güvenlik düzeltmesi getirmişti ama CVE-2026-119741, 3.5.1'e kadar tüm sürümleri etkiliyor.

İlgili sayfalar: Web hosting · Web yazılım hizmetleri · İletişim

Kapak fotoğrafı: U.S. Air Force photo by Airman 1st Class Eve Daugherty / Wikimedia Commons (Public domain)