librsync 1.0.0 中的變更 (2015-01-23) ======================================

- 安全性：CVE-2014-8242：librsync 之前是使用截斷的 MD4「強」總和檢查來比對區塊。
 然而，MD4 密碼編譯並不強。攻擊者若可可控制檔案的部分內容，在該檔案利用 librsync/rdiff 傳輸的情況下，就可能將此用來控制檔案的其他區域。例如，這可能在資料庫、信箱或包含某些攻擊者控制資料的 VM 影像中發生。為減輕此問題，簽章預設會由 256 位元的 BLAKE2 雜湊進行計算。舊版 librsync 在接收這些簽章檔案時會出現魔術數字不正確的訊息。向後相容性可以在使用新 `rdiff sig --hash=md4` 選項或在 API 中指定 [簽章魔術] 後取得，但如果舊或新檔案中含有未受信任的資料，則不應使用這種方法。從這些簽章中產生的 Delta 在產生時也會使用 BLAKE2，但產生的輸出可由舊版讀取。請參閱 https://github.com/librsync/librsync/issues/5。感謝 Michael Samuel <miknet.net> 報告此問題，並提供初步的修補程式。

- 多個版本修正，感謝 Timothy Gu。

- 改善來自 Debian 的 rdiff 手冊頁。

- 改善構建 RPM 的 librsync.spec 檔案。

- 修正大型檔案的錯誤 #1110812「內部錯誤：作業沒有進度」。

- 已將主機移至 https://github.com/librsync/librsync/

- Travis-CI.org 整合測試，位置：https://travis-ci.org/librsync/librsync/

- 移除隨附的 popt 複本；這必須分開安裝。

- 您可以先在 OS X Homebrew 等稱為 `glibtoolize` 的位置中，先設定 `$LIBTOOLIZE` 然後再執行 `autogen.sh`。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Fedora 22：csync2-1.34-15.fc22 / duplicity-0.6.25-3.fc22 / librsync-1.0.0-1.fc22 等等 (2015-2923)

medium Nessus Plugin ID 81716

找不到變更記錄