Belajar Rsync - Keamanan & CVE 3.4.x
Membahas babak keamanan penting rsync: 3.4.0 (Jan 2025) menutup 33 kerentanan termasuk 2 RCE (CVE-2024-12084/12085), heap buffer overflow, dan perbaikan --safe-links, dilanjutkan tambalan 3.4.3/3.4.4, serta best practice keamanan: selalu pakai rsync >=3.4.4, SSH + key auth, dan jangan ekspos rsyncd tanpa firewall.
#Pendahuluan
Setiap kali kalian melihat rsync --version mencetak 3.2.7, itu seharusnya mengirim sinyal alarm. Sebab di Januari 2025, rsync mengeluarkan security release terbesar dalam sejarahnya: 3.4.0 menutup 33 kerentanan, termasuk 2 Remote Code Execution (RCE). Episode 13 adalah bagian paling serius dari series ini — kita bedah apa yang salah, apa yang diperbaiki, dan bagaimana kalian beroperasi dengan aman.
Mengapa rsync menjadi target? Karena ia hampir pasti terpasang di setiap server Linux dan sering diekspos (port 873 untuk daemon, atau dipicu via rsync-over-SSH). Semakin luas permukaan, semakin menarik bagi penyerang.
#Kenapa Rsync Menjadi Target
Rsync adalah kode C berusia hampir tiga dekade yang menangani input dari jaringan — parsing protokol, checksum, dan path. Kombinasi "kode tua + input tak tepercaya" adalah resep klasik kerentanan memory-safety. Ditambah fakta bahwa rsync daemon sering berjalan dengan hak istimewa, RCE pada rsync berarti penyerang bisa menjalankan kode di server kalian.
#3.4.0: Security Release Besar
Rsync 3.4.0 (rilis Januari 2025) menutup 33 kerentanan. Ini bukan rilis fitur — ini pembersihan keamanan yang massif. Di dalamnya terkandung dua RCE yang paling ditunggu-tunggu perbaikannya.
#CVE-2024-12084 & CVE-2024-12085 (RCE)
| CVE | Jenis | Dampak |
|---|---|---|
| CVE-2024-12084 | Heap buffer overflow saat memproses data checksum | RCE — penyerang bisa menjalankan kode arbitrer |
| CVE-2024-12085 | Info leak — stack data yang tidak diinisialisasi | Kebocoran memori proses ke pihak lawan |
CVE-2024-12084 adalah yang paling berbahaya: bug pada pengendalian buffer checksum memungkinkan penyerang yang bisa berbicara protokol rsync (misal client yang memulai koneksi ke daemon, atau daemon jahat yang dihubungi client) menulis melewati batas heap dan mengeksekusi kode. CVE-2024-12085 melewatkan data dari stack ke output — membocorkan informasi sensitif proses.
Warning
CVE-2024-12084/12085 tidak hanya menyangkut daemon yang diekspos publik. Skenario "client yang terhubung ke server rsync jahat" juga terdampak — misalnya rsync versi lama yang diarahkan ke server penyerang dapat di-exploit. Ini alasan mengapa patch harus diterapkan di kedua sisi, bukan hanya di sisi yang ter-expose.
#Heap Buffer Overflow dan --safe-links
Selain dua RCE, 3.4.0 memperbaiki beberapa kerentanan lain:
- Heap buffer overflow tambahan pada pengendalian buffer data daemon.
- Perbaikan
--safe-links— opsi yang mengabaikan symlink yang menunjuk keluar dari direktori transfer; implementasi lamanya ternyata bisa dilewati. - Berbagai bug integer overflow, path handling, dan informasi leakage kecil.
#3.4.3 dan 3.4.4: Tindak Lanjut
Keamanan tidak berhenti di 3.4.0. Rilis lanjutan terus menambal:
| Rilis | Tanggal | Isi Utama |
|---|---|---|
| 3.4.1 | 2025 | Perbaikan regresi & bug |
| 3.4.2 | 2025 | Bugfix lebih lanjut |
| 3.4.3 | 2025 | Menambal CVE-2026-29518 (info leak) dan lain-lain |
| 3.4.4 | 8 Juni 2026 | Bugfix & security — termasuk CVE-2026-4361 dan kawan-kawan |
CVE-2026-29518 adalah kebocoran informasi lain yang ditutup di 3.4.3; 3.4.4 melengkapi dengan tambalan bugfix dan keamanan. Pelajaran utamanya: "sudah pakai 3.4.x" saja tidak cukup — harus versi patch terbaru.
#Best Practice
Aturan operasional yang harus kalian bawa ke produksi:
- Selalu pakai rsync ≥3.4.4. Cek dan update rutin; jangan biarkan 3.2.x atau 3.3.x yang sudah lama terpasang.
- Gunakan SSH + key auth untuk semua transfer data sensitif — enkripsi dan autentikasi kuat dalam satu lapis (detail di episode 14).
- Jangan expose rsyncd ke internet tanpa firewall. Port 873 harus berada di balik firewall, VPN, atau SSH tunnel.
- Jalankan daemon dengan user minimal (
uid/gidkhusus,use chroot = yes) — bukan root. - Patuhi prinsip least privilege: module
read onlykecuali memang butuh tulis, secrets filechmod 600.
Tip
Bangun kebiasaan: setiap bulan, rsync --version di semua server dan bandingkan dengan rilis terbaru (cek download.samba.org/pub/rsync/NEWS). Tambahkan ini ke checklist audit — kita jadikan bagian checklist produksi di episode 22.
#Memeriksa dan Memperbarui
Cek versi dan update:
rsync --version | head -1
sudo apt update && sudo apt install rsync # Debian/Ubuntu
sudo dnf update rsync # RHEL/FedoraJika distro kalian belum menyediakan 3.4.4 di repo stabil (distro LTS lama), opsi lain: pakai versi statis yang di-build dari source, atau pasang dari repo terbaru. Jangan pernah menerima rsync lama hanya karena "sudah jalan bertahun-tahun" — keamanan berubah.
#Penutup
Pada episode 13 ini, kalian telah memahami babak keamanan terpenting rsync.
Inti yang harus dibawa pulang:
- 3.4.0 (Jan 2025): 33 CVE ditutup — termasuk 2 RCE (CVE-2024-12084 heap overflow, CVE-2024-12085 info leak).
- Patch berlaku di kedua sisi transfer, bukan hanya sisi yang ter-expose.
- 3.4.3 menambal CVE-2026-29518; 3.4.4 (8 Juni 2026) menutup lebih lanjut (CVE-2026-4361 dll).
- Best practice: rsync ≥3.4.4, SSH + key auth, jangan ekspos rsyncd tanpa firewall.
- Audit versi berkala via
download.samba.org/pub/rsync/NEWS.
Di episode 14 selanjutnya, kita keraskan transportnya: SSH hardening & key auth — key-based auth, -e ssh dengan opsi ketat (tanpa password), Restrict (no-port-forwarding) untuk akun rsync-only, dan mengapa daemon tanpa TLS sebaiknya dibungkus SSH tunnel. Sampai jumpa di episode 14!