Como meu rsync em Go, minimalista e memory-safe, evita vulnerabilidades

27 de maio de 2026

Resumo

Ao analisar 12 CVEs do rsync de janeiro de 2025 e maio de 2026, o autor demonstra que o gokrazy/rsync, uma reimplementação minimalista em Go, evitou oito delas simplesmente por não implementar os recursos vulneráveis (recursão incremental, compressão, suporte a proxy e ACLs de hostname). As defesas estruturais do Go neutralizaram a maioria das restantes: verificações de limites em runtime convertem estouros de heap em panics, a inicialização com zero elimina vazamentos de informação da stack, e a API os.Root, resistente a travessias, fecha as condições de corrida TOCTOU com symlinks, deixando apenas um bug lógico (CVE-2026-43617) que a linguagem não poderia ter prevenido. As lições práticas incluem atualizar para rsync 3.4.3+ ou gokrazy/rsync v0.3.3+, implementar defesa em profundidade via mount namespaces, hardening de systemd ou Landlock, e preferir implementações cuja complexidade seja proporcional ao caso de uso, pois evitar recursos de protocolo desnecessários reduz visivelmente a superfície de ataque.

Fontes

michael.stapelberg.chfonte original

Avalie este artigo:

Categoria: CEVIU Segurança da Informação
Publicado: 27 de maio de 2026
Editoria: CEVIU Segurança da Informação

Quer receber mais sobre CEVIU Segurança da Informação?