Open-source file sync tool rsync 3.5.2 fixes a CPU exhaustion flaw - Help Net Security

El proyecto rsync lanzó la versión 3.5.2 para cerrar un fallo que permite a un cliente conectado agotar el CPU de un servidor mediante cálculos de sumas de verificación (checksum) que no llevan a ninguna parte. La nueva versión también permite enviar una transferencia al final de la cola de procesamiento de CPU y disco, evitando que una sincronización masiva afecte el rendimiento de otros procesos en la máquina.

rsync es una herramienta de código abierto que copia archivos de forma local o a través de una red, muy usada para respaldos y copias de archivos de software. El proceso funciona comparando bloques de archivos mediante sumas de verificación. El problema, identificado como CVE-2026-119741, ocurre en la función hash_search() del archivo match.c. Un receptor malintencionado puede enviar sumas de verificación débiles que colisionan repetidamente, obligando al emisor a realizar cálculos intensivos que fallan constantemente. Unas pocas conexiones de este tipo pueden dejar el CPU sin capacidad de respuesta.

La vulnerabilidad afecta a todas las versiones hasta la 3.5.1. VulnCheck le asignó una puntuación de 7.5 en CVSS 3.1, indicando que el riesgo es sobre la disponibilidad del servicio (el servidor se bloquea) y no sobre la integridad de los datos. Si usted utiliza un módulo de demonio (daemon) público, cualquier persona podría ejecutar este ataque sin necesidad de una cuenta. La versión 3.5.2 también introduce controles de prioridad de proceso con las opciones --nice y --no-nice para gestionar mejor el uso de recursos.

Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza servidores Linux para realizar copias de seguridad o sincronización de archivos mediante rsync, debe actualizar la herramienta a la versión 3.5.2 de inmediato. De no hacerlo, un atacante podría bloquear sus servidores de archivos, dejando sus sistemas lentos o inoperativos, lo que afectaría la continuidad de su negocio.