SamAU
2026 年 5 月 19 日午前 11:10
1
QNAPシステムには現在、
rsync version 3.0.7 protocol version 30
が同梱されています。
このバージョンは2009年 にリリースされたものであり、最新のrsyncリリースに含まれている多くの重要な使い勝手・互換性・パフォーマンス・セキュリティ向上がありません。
要望
同梱のrsyncパッケージを現在の安定したアップストリーム版（できれば3.2.x系）にアップデートしてください。
主な理由
進捗表示の強化--info=progress2が使えないことです。
最新のrsyncは、1つの全体転送進捗インジケータを提供しており、次のような場面で不可欠です：
長時間のバックアップ作業の監視
残り転送時間の推定
多数のファイルにわたる総スループットの観察
スクリプトや自動化処理の可視性向上
この機能がない場合、ユーザーが得られるのはファイル単位の進捗表示（--progress）のみで、膨大な数の小ファイルを転送する際にはほとんど意味がありません。
例：rsync -ah --info=progress2 source/ dest/
これにより、
全体の進捗率（パーセンテージ）
集計転送速度
推定残り時間
転送済み合計バイト数
などが表示され、今や標準的な運用機能とみなされています。
セキュリティ・メンテナンスの懸念
新しいバージョンには、
セキュリティ修正
プロトコル強化
改良されたチェックサム管理
より安全なデーモン挙動
最新のLinux/macOSとの互換性向上
などが含まれています。
パフォーマンス向上
より高速なファイルリスト生成
改良されたインクリメンタル再帰
より効率的なメモリ管理
オプションでxxhash/zstd圧縮サポート
改良されたスパースファイル管理
などが実装されており、数百万ファイル規模のNAS用途では特に有効です。
3.0.7で欠けている現代的な機能サポート
--info=progress2
新しいチェックサム/圧縮オプション
部分転送の強化
ACL/xattrの強化サポート
新しいプロトコル最適化
IPv6対応の向上
ロギング/デバッグ制御の強化
などが挙げられます。
ご提案ありがとうございます！今後のリリースで、主にQTS/QuTS hero 6アップデートの一環としてrsyncのバージョンを更新する予定です。
「いいね！」 1
さて、ついに来ましたね。QuTS 6がリリースされて、テスト用のマシンにインストールしてみました。
まだバージョン3.0.7のままです。
混乱させてしまい申し訳ありません！念のためご説明しますと、rsyncアップデートがQuTS hero 6の最初のリリースに含まれるという意味ではありませんでした。代わりに、プロダクトマネージャー（PM）がこのアップデートを今後のリリースの範囲に含める予定であり、具体的なスケジュールは現在計画中です。ご提案ありがとうございました！
SamAU
2026 年 10 月 12 日午前 3:49
6
Hi @SteveKo さん、
この問題をできるだけ早めに解決することの重要性を改めて強調したいです。v3.0.7 には深刻な脆弱性があり、私たちのデータとセキュリティにリスクをもたらします。例えば、
CVE-2014-9512 : 悪意のある サーバー が意図した宛先外にファイルを書き込む恐れがある脆弱性（3.1.2で修正）。
CVE-2016-9840〜9843 : バンドルされた zlib のバグ（3.1.3で修正）。
CVE-2017-16548, 17433, 17434, CVE-2018-5764 : 受信側・デーモンの引数やチェックサム処理の不備（3.2.0で修正）。
CVE-2022-29154 : 悪意のあるサーバーがクライアント側に任意のファイルを書き込む可能性（3.2.5で修正）。
CVE-2024-12085〜12088, 12747 （3.4.0で修正）: 情報漏洩、パストラバーサル、--safe-links のバイパス、およびシンボリックリンク競合。
CVE-2026-53791 （CRITICAL評価）。
CVE-2026-41035 は xattr 処理の use-after-free です。報告者によると rsync 3.0.1 で導入されたため 3.0.7 も該当し、ビルドで xattr サポートが有効になっています。メンテナーは主にクライアント自身の接続をクラッシュさせる可能性があるとしていますが、悪意のあるサーバーによる影響は現在も調査中です。openwallopenwall
バージョン 3.4.3（2026年5月20日）で6件のCVEが修正されており、すべて3.4.2以前に影響します。内容はデーモンのホスト名ACLバイパス（CVE-2026-43617、中程度）や RSYNC_PROXY 環境変数が必要な off-by-one のスタック書き込み（CVE-2026-45232）など。
バージョン 3.5.0（2026年8月13日）は、メジャーなセキュリティリリースとされています。30件以上のCVEが修正され、そのうち約20件はHIGH扱いです。
Red Hat のアドバイザリには、対象となるバグの種類が示されています。複数経路によるコマンドインジェクション、細工された引数によるヒープアウトオブバウンズ書き込み、細工されたファイルエントリによるメモリ破損、任意ファイルの読み書き・削除、auth users の認可バイパス、rrsync のディレクトリエスケープ等が含まれます。
よろしくお願いします。
OneCD
2026 年 10 月 12 日午前 5:55
7
サムさん、こんにちは。
お待ちの間、Entware を使えば新しいバージョンの rsync が利用できますよ：
[~] # opkg info rsync
Package: rsync
Version: 3.4.1-3
Depends: libc, libssp, librt, libpthread, libpopt, zlib, libattr, libacl, libzstd, libiconv-full
Provides: rsync-any
Status: unknown ok not-installed
Section: net
Architecture: x64-3.2
Size: 238004
Filename: rsync_3.4.1-3_x64-3.2.ipk
Description: rsync はファイルをリモートマシン間でコピーできるプログラムです。
rcp と似ていますが、より多くのオプションがあり、
rsync リモートアップデートプロトコルを使って、
すでに存在するファイルの差分だけを高速に転送できます。
rsync リモートアップデートプロトコルにより、
2 つのファイルセット間の差分だけをネットワークリンク越しに転送することが可能です。
