rsyncの脆弱性について、自分の環境（AlmaLinux9）でセキュリティアップデートが適用されているか確認する

rsyncに深刻な脆弱性があるとのことでアップデートが公開されました

【セキュリティ ニュース】同期ツール「rsync」に深刻な脆弱性 - 連日アップデートを公開（1ページ目 / 全1ページ）：Security NEXT

ファイルの転送や同期などの機能を提供する「rsync」に重要度が「クリティカル」とされるものをはじめ、複数の脆弱性が明らかになった。公開後に回帰バグが判明するなど、連日アップデートがリリースされており注意が必要。：Security NEXT

www.security-next.com

おそらく自動でアップデートされているとは思いますが、念のため確認します

rsyncのバージョン確認

rsync –version コマンドを実施してrsyncのバージョンを確認します

# rsync --version
rsync  version 3.2.3  protocol version 31
Copyright (C) 1996-2020 by Andrew Tridgell, Wayne Davison, and others.
Web site: https://rsync.samba.org/
Capabilities:
    64-bit files, 64-bit inums, 64-bit timestamps, 64-bit long ints,
    socketpairs, hardlinks, hardlink-specials, symlinks, IPv6, atimes,
    batchfiles, inplace, append, ACLs, xattrs, optional protect-args, iconv,
    symtimes, prealloc, stop-at, no crtimes
Optimizations:
    SIMD, asm, openssl-crypto
Checksum list:
    md5 md4 none
Compress list:
    zstd lz4 zlibx zlib none

上の記事によると「3.4.1」となっていればセキュリティ的に問題なさそうですが、自分の環境では「3.2.3」でした

一見最新バージョンじゃなさそうに見えますが、使用しているリポジトリによっては必ずしも「3.4.1」が最新とは限らないので、使用しているリポジトリを確認します

使用しているリポジトリを確認

rsyncがどのリポジトリのパッケージか確認します

# dnf list installed | grep rsync
rsync.x86_64                                   3.2.3-20.el9_5.1                   @baseos

「@baseos」と記載があるので、BaseOSリポジトリを使用していることがわかります
他に表示されている情報の「rsync.x86_64」「3.2.3-20.el9_5.1」もあとで確認に使用しますので何となく頭に入れておきます

AlmaLinux9のリポジトリの更新情報を確認

下記でAlmaLinux9のBaseOSリポジトリについて、各パッケージの更新日時が確認できます

Index of /almalinux/9/BaseOS/x86_64/os/Packages/

repo.almalinux.org

「rsync」と記載があるパッケージを探します
2件ありますが、先ほど「dnf list installed | grep rsync」コマンドを実施した時の結果と照らし合わせて下の「rsync-3.2.3-20.el9_5.1.x86_64.rpm」が該当することがわかります

rsync-3.2.3-20.el9.x86_64.rpm                      03-Oct-2024 09:59
rsync-3.2.3-20.el9_5.1.x86_64.rpm 　               15-Jan-2025 11:41

更新日時は「15-Jan-2025 11:41」と記載があるので、2025年1月15日にパッケージの更新があったということです

本記事の最初に載せたセキュリティネクストの記事によりますと、最初のセキュリティアップデートが2025年1月15日、その次が2025年1月16日とありますので少なくとも初回のセキュリティアップデートはされていることがわかりました

2つ目のアップデートは適用されていないっぽいですが、ちょっとしたマイナーアップデートであることと、自動アップデート出来ていること自体は確認できたのでヨシとしました

まとめ

アップデートはいつもdnf updateに頼りっきりですが、たまには自分の目でちゃんとアップデート状況確認してみるのも勉強と安心の観点から良いかもしれませんね