Zespół rsync udowodnił, że naruszenie bezpieczeństwa we wszystkich wersjach rsync do 2.5.7 - szybkiego, zdalnego programu kopiującego - w połączeniu z dziurą w jądrze Linuksa, zostało użyte w ostatnim przełamaniu zabezpieczeń publicznego serwera rsync.
Choć to przepełnienie stosu nie mogło być samo w sobie użyte do przejęcia praw użytkownika root na serwerze rsync, mogło zostać użyte w połączeniu z ostatnio zgłaszaną dziurą w do_brk() jądra Linuksa do pełnego, zdalnego włamania się na serwer.
Zauważyć trzeba, że ta podatność dotyczy tylko używania rsync jako "serwera rsync". Aby zobaczyć czy posiadasz uruchomiony serwer rsync, powinieneś użyć polecenia "netstat -a -n", które pokaże Ci, czy nasłuchujesz na porcie TCP 873. Jeśli nie nasłuchujesz na porcie 873 oznacza to, że nie masz uruchomionego serwera rsync.
W stabilnej dystrybucji (woody) powyższy problem został wyeliminowany w wersji 2.5.5-0.2.
W dystrybucji niestabilnej (sid) powyższy problem został wyeliminowany w wersji 0.90-pa9-11. 2.5.6-1.1.
Ponieważ infrastruktura Debiana nie jest jeszcze w pełni działająca po ostatnim włamaniu, w tej chwili pakiety dla dystrybucji niestabilnej nie są jeszcze dostępne w archiwum. Co za tym idzie, zostały one umieszczone w katalogu domowym Joeya na bezpiecznym komputerze.
Zalecamy natychmiastową aktualizację pakietu rsync jeśli udostępniasz zdalną usługę sync. Jeśli używasz dystrybucji testowej i udostępniasz zewnętrzną usługę sync, użyj proszę pakietu dystrybucji woody.
Sumy kontrolne MD5 wymienionych plików dostępne są w oryginalnej poradzie.