原文

rsync 3.1.0から3.5.0未満のバージョンには、auth usersディレクティブの解析において認可バイパスの脆弱性があります。auth usersのパーサーはユーザーリストをカンマのみでトークン化するため、グループ名にスペースを含む「@グループ名」の形式のエントリを正しく処理できません。グループ名内のスペースによって、パーサーはそのスペースの位置でエントリを分割し、グループに関連付けられたdenyルールを破棄してしまいます。@Group Nameのauth usersエントリで拒否されるはずの認証済みユーザーのユーザー名やグループメンバーシップは、このdenyルールの破棄により、制限されたモジュールに接続できてしまう問題があります。