FICHE CVE

CVE-2026-70452

Publiée le 2026-08-13 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les démons rsync (versions 3.1.0 à 3.4.x) utilisant des règles de refus (« deny ») basées sur le nom d'hôte sont concernés. Un attaquant distant et non authentifié peut contourner ces contrôles d'accès pour accéder à des arborescences de fichiers restreintes en provoquant intentionnellement des échecs de résolution DNS lors du processus de connexion. Bien que cela nécessite un accès réseau et une configuration spécifique, aucune interaction de l'utilisateur n'est requise pour obtenir un accès non autorisé à vos fichiers.

CVSS 4.09.1 CRITIQUE

Type de faiblesse

CWE-636 Autorisation incorrecte · CWE-863

Publiée2026-08-13

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

rsync 3.1.0 before 3.5.0 contains an access control bypass vulnerability that allows remote attackers to circumvent hosts deny rules by inducing DNS resolution failures during hostname-based access control evaluation. When a DNS lookup for a hostname-based deny rule fails, the daemon skips the rule rather than defaulting to a deny decision, enabling attackers who can trigger DNS failures to bypass module-level IP access controls and gain unauthorized access to restricted module file trees.