syncthing developers report :

syncthing can be caused to crash and exit if sent a malformed relay protocol message message with a negative length field.

The relay server strelaysrv can be caused to crash and exit if sent a malformed relay protocol message with a negative length field.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Syncthing is a continuous file synchronization program. In Syncthing before version 1.15.0, the relay     server `strelaysrv` can be caused to crash and exit by sending a relay message with a negative length     field. Similarly, Syncthing itself can crash for the same reason if given a malformed message from a     malicious relay server when attempting to join the relay. Relay joins are essentially random (from a     subset of low latency relays) and Syncthing will by default restart when crashing, at which point it's     likely to pick another non-malicious relay. This flaw is fixed in version 1.15.0. (CVE-2021-21404)

Note that Nessus relies on the presence of the package as reported by the vendor.

この syncthing 用の更新プログラムでは、次の問題が修正されています。

1.15.0/1.15.1 へ更新します

  - このリリースでは、無効な形式のリレープロトコルメッセージが原因で Syncthing およびリレーサーバーがクラッシュする可能性がある脆弱性が修正されます (CVE-2021-21404)。GHSA-x462-89pf-6r5h を参照してください。(boo#1184428)

  - このリリースは、サブコマンドを使用するように CLI を更新し、サブコマンド cli (以前はスタンドアロンの stcli ユーティリティ) および復号化 (暗号化されたフォルダのオフライン検証および復号化用) を追加します。

  - このリリースでは、「信頼されていない (暗号化された) デバイス」機能をテストすることを皆様に推奨しています。重要な実稼働データではまだ使用しないでください。したがって、UI コントロールは機能フラグの背後に隠れています。詳細については、こちらをご覧ください:
    https://forum.syncthing.net/t/testing-untrusted-encrypted-devices/16470 

1.14.0への更新

  - このリリースでは、構成可能なデバイスおよびフォルダのデフォルトが追加されています。

  - /rest/db/browse エンドポイントの出力形式が変更されました。 

1.13.1 への更新:

  - このリリースでは、最小 / 最大接続の構成オプションが追加され (https://docs.syncthing.net/advanced/option-connection-limits.html を参照)、保留中のデバイス / フォルダのストレージが構成からデータベースに移動されます (https://docs.syncthing.net/dev/rest.html#cluster-endpoints を参照)。

  - バグ修正

  - v1.13.0 の公式ビルドには、Tech Ui が付属しています。これを元に戻すことはできません

1.12.1 への更新:

  - 無効な名前が許可され、Windows のフォルダルートパスで「自動承認」されます

  - Syncthing の起動後に、一部のフォルダのインデックスが送信されない場合があります

  - [信頼できない] 予期しないアイテムを削除すると、問題が残ります

  - 選択のテーマが間違っています

  - Quic スパム送信のアドレス解決

  - ローカルで変更されたものとして表示されている、ローカルで変更されたアイテムを削除しました

  - どこかに href を生成するリモートの予期される Web UI ポートを指定できるようにします

  -ファイル無視を保存する際に fsync エラーを無視します 

1.12.0への更新

  - 1.12.0 リリース

  - 新しい構成 REST API を追加します。

  - 1.11.0 リリース

  - アップグレードが検出されたときにすべてのインデックスデータを再送信するかどうかを制御する sendFullIndexOnUpgrade オプションを追加します。これは、
    --reset-deltas で Syncthing を開始することに相当します。これ (sendFullIndexOnUpgrade=true) は以前のバージョンの動作でしたが、主にトラブルシューティングの手順として役立ち、データベースのチャーンが高くなります。新しいデフォルトは false です。

  - 1.10.0 への更新

  - このリリースでは、グローバルディスカバリへのプライベート (RFC1918) LAN IP アドレスのアナウンスを有効 (デフォルト) または無効にする構成オプション announceLANAddresses が追加されています。 

  - 1.9.0 への更新

  - このリリースでは、大文字と小文字を区別しないファイルシステムの新しい安全な処理を無効にするために、高度なフォルダオプションである caseSensitiveFS (https://docs.syncthing.net/advanced/folder-caseSensitiveFS.html) が追加されています。 

  - 少なくとも Go 1.14 を要求して Leap ビルドを修正します 

  - ビルドシステムが Go モジュールをダウンロードしないようにします。これにより、ビルド中にインターネット接続が必要になります。

  - 1.8.0 への更新

  - 1.8.0 リリース

  - コピーオンライトサポートのあるファイルシステムで使用するために、実験的な copyRangeMethod 構成をフォルダに追加します。
    詳細については、https://docs.syncthing.net/advanced/folder-copyrangemethod.html を参照してください。

  - TCP ホールパンチングを追加します。これは、以前はリレーまたは QUIC 接続しか使用できなかった特定の NAT シナリオで、高性能 TCP 接続を確立するために使用されます。

  - クリーンアップを実行する頻度をファイルのバージョン管理に追加します。これはデフォルトで 1 時間に 1 回ですが、非常に頻繁に設定することも、設定しないことも可能です。

  - 1.7.0 リリースは、データベース移行を実行して、多数のデバイスを持つクラスターを最適化します。

  - 1.6.0 リリースは、データベーススキーマの移行を実行し、BlockPullOrder、DisableFsync および MaxConcurrentWrites フォルダオプションを構成スキーマに追加します。LocalChangeDetected イベントで、新しいファイルに対して追加されたアクションが設定されなくなりました。代わりに、すべてのローカルファイルの変更に対して変更が表示されます。

  - 1.5.0 リリースでは、一部の状況でインデックスデータベースのデフォルトの場所が変更されます。2 つの新しいフラグを使用して、構成 (-config) とデータベース (-data) の場所に別々に影響を与えることもできます。
    古い -home フラグは、これらの両方を同じディレクトリに設定することと同等です。フラグが与えられない場合、データの場所を決定するために次のロジックが使用されます。
    古いデフォルトの場所にデータベースが存在する場合、その場所が引き続き使用されます。これは、既存のインストールがこの変更の影響を受けないことを意味します。$XDG_DATA_HOME が設定されている場合は、$XDG_DATA_HOME/syncthing を使用します。~/.local/share/syncthing が存在する場合は、その場所を使用します。古いデフォルトの場所を使用します。

  - 1.4.2 に更新します:

  - バグ修正:

  - #6499: panic: 使用状況レポートの nil ポインターデリファレンス

  - その他の問題:

  - アップグレードサーバーに不必要な負荷をかけるアップグレードコードの変更を元に戻します

  - 1.4.1 に更新します:

  - バグ修正:

  - #6289: syncthing 1.3.3 以来の「一般 SOCKS サーバー障害」

  - #6365: GUI に表示されない接続エラー

  - #6415: v1.4.0 へのアップグレード後のデータベース移行「フォルダ db インデックスの欠落」におけるループ

  - #6422: QNAP NAS でのデータベース移行中の「致命的なエラー: runtime: メモリ不足」

  - 拡張機能:

  - #5380: gui: モーダルでフォルダ / デバイス名を表示します

  - #5979: UNIX ソケット許可ビット

  - #6384: 起動時に早期かつ同期的に自動アップグレードを実行します

  - その他の問題:

  - #6249: GUI から不要な RAM / CPU 統計を削除します

  - 1.4.0 に更新します:

  - 重要な変更:

  - 新しい構成オプション maxConcurrentIncomingRequestKiB

  - 構成オプション maxConcurrentScans を maxFolderConcurrency を置換します

  - データベーススキーマを改善します

  - バグ修正:

  - #4774: - no-restart 付きのサブシェルで実行する場合、Ctrl-C に反応しません (Linux)

  - #5952: panic: ファイルがない場合、必要に応じて削除されたファイルを取得すべきではありません

  - #6281: プログレスエミッターが 100％ CPU を使用します

  - #6300: lib/ignore: panic: ランタイムエラー: インデックスが長さ 0 の範囲 [0] 外です

  - #6304: 同期の問題、データベースにシーケンスエントリがありません

  - #6335: クラッシュまたはハードシャットダウンにより、データベースの不一致、非同期が発生する可能性があります

  - 拡張機能:

  - #5786: 常にモニタープロセスを実行することを検討してください

  - #5898: データベースのパフォーマンス: 重複を減らします

  - #5914: フォルダの同時実行性を制限してパフォーマンスを改善します

  - #6302: グローバルリクエストリミッターによる群れの問題の発生を回避します

  - Go ビルド要件をより柔軟な「golang(API) > = 1.12」に変更します。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Synching は、継続的なファイル同期プログラムです。バージョン 1.15.0より前の Syncthing では、リレーサーバー「strelaysrv」が、負の長さフィールドを持つリレーメッセージを送信することでクラッシュおよび終了する可能性があります。同様に、リレーに参加しようとする際に悪意のあるリレーサーバーから無効な形式のメッセージを与えられた場合、Syncthing 自体も同じ理由でクラッシュする可能性があります。リレーの join は基本的にランダムで (低レイテンシリレーのサブセットから)、Syncthing はデフォルトでクラッシュ時に再起動します。この時点で、悪意のない別のリレーを選択する可能性があります。この欠陥は、バージョン 1.15.0で修正されています。CVE-2021-21404

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

This update for syncthing fixes the following issues :

Update to 1.15.0/1.15.1

  - This release fixes a vulnerability where Syncthing and     the relay server can crash due to malformed relay     protocol messages (CVE-2021-21404); see     GHSA-x462-89pf-6r5h. (boo#1184428)

  - This release updates the CLI to use subcommands and adds     the subcommands cli (previously standalone stcli     utility) and decrypt (for offline verifying and     decrypting encrypted folders).

  - With this release we invite everyone to test the     'untrusted (encrypted) devices' feature. You should not     use it yet on important production data. Thus UI     controls are hidden behind a feature flag. For more     information, visit:
    https://forum.syncthing.net/t/testing-untrusted-encrypte     d-devices/16470 

Update to 1.14.0

  - This release adds configurable device and folder     defaults.

  - The output format of the /rest/db/browse endpoint has     changed. 

update to 1.13.1 :

  - This release adds configuration options for min/max     connections (see     https://docs.syncthing.net/advanced/option-connection-li     mits.html) and moves the storage of pending     devices/folders from the config to the database (see     https://docs.syncthing.net/dev/rest.html#cluster-endpoin     ts).

  - Bugfixes

  - Official builds of v1.13.0 come with the Tech Ui, which     is impossible to switch back from

update to 1.12.1 :

  - Invalid names are allowed and 'auto accepted' in folder     root path on Windows

  - Sometimes indexes for some folders aren't sent after     starting Syncthing

  - [Untrusted] Remove Unexpected Items leaves things behind

  - Wrong theme on selection

  - Quic spamming address resolving

  - Deleted locally changed items still shown as locally     changed

  - Allow specifying remote expected web UI port which would     generate a href somewhere

  - Ignore fsync errors when saving ignore files 

Update to 1.12.0

  - The 1.12.0 release

  - adds a new config REST API.

  - The 1.11.0 release

  - adds the sendFullIndexOnUpgrade option to control     whether all index data is resent when an upgrade is     detected, equivalent to starting Syncthing with
    --reset-deltas. This (sendFullIndexOnUpgrade=true) used     to be the behavior in previous versions, but is mainly     useful as a troubleshooting step and causes high     database churn. The new default is false.

  - Update to 1.10.0

  - This release adds the config option announceLANAddresses     to enable (the default) or disable announcing private     (RFC1918) LAN IP addresses to global discovery. 

  - Update to 1.9.0

  - This release adds the advanced folder option     caseSensitiveFS     (https://docs.syncthing.net/advanced/folder-caseSensitiv     eFS.html) to disable the new safe handling of case     insensitive filesystems. 

  - Fix Leap build by requiring at least Go 1.14

  - Prevent the build system to download Go modules which     would require an internet connection during the build

  - Update to 1.8.0

  - The 1.8.0 release

  - adds the experimental copyRangeMethod config on folders,     for use on filesystems with copy-on-write support.
    Please see     https://docs.syncthing.net/advanced/folder-copyrangemeth     od.html for details.

  - adds TCP hole punching, used to establish high     performance TCP connections in certain NAT scenarios     where only relay or QUIC connections could be used     previously.

  - adds a configuration to file versioning for how often to     run cleanup. This defaults to once an hour, but is     configurable from very frequently to never.

  - The 1.7.0 release performs a database migration to     optimize for clusters with many devices.

  - The 1.6.0 release performs a database schema migration,     and adds the BlockPullOrder, DisableFsync and     MaxConcurrentWrites folder options to the configuration     schema. The LocalChangeDetected event no longer has the     action set to added for new files, instead showing     modified for all local file changes.

  - The 1.5.0 release changes the default location for the     index database under some circumstances. Two new flags     can also be used to affect the location of the     configuration (-config) and database (-data) separately.
    The old -home flag is equivalent to setting both of     these to the same directory. When no flags are given the     following logic is used to determine the data location:
    If a database exists in the old default location, that     location is still used. This means existing     installations are not affected by this change. If     $XDG_DATA_HOME is set, use $XDG_DATA_HOME/syncthing. If     ~/.local/share/syncthing exists, use that location. Use     the old default location.

  - Update to 1.4.2 :

  - Bugfixes :

  - #6499: panic: nil pointer dereference in usage reporting

  - Other issues :

  - revert a change to the upgrade code that puts     unnecessary load on the upgrade server

  - Update to 1.4.1 :

  - Bugfixes :

  - #6289: 'general SOCKS server failure' since syncthing     1.3.3

  - #6365: Connection errors not shown in GUI

  - #6415: Loop in database migration 'folder db index     missing' after upgrade to v1.4.0

  - #6422: 'fatal error: runtime: out of memory' during     database migration on QNAP NAS

  - Enhancements :

  - #5380: gui: Display folder/device name in modal

  - #5979: UNIX socket permission bits

  - #6384: Do auto upgrades early and synchronously on     startup

  - Other issues :

  - #6249: Remove unnecessary RAM/CPU stats from GUI

  - Update to 1.4.0 :

  - Important changes :

  - New config option maxConcurrentIncomingRequestKiB

  - Replace config option maxConcurrentScans with     maxFolderConcurrency

  - Improve database schema

  - Bugfixes :

  - #4774: Doesn't react to Ctrl-C when run in a subshell     with -no-restart (Linux)

  - #5952: panic: Should never get a deleted file as needed     when we don't have it

  - #6281: Progress emitter uses 100% CPU

  - #6300: lib/ignore: panic: runtime error: index out of     range [0] with length 0

  - #6304: Syncing issues, database missing sequence entries

  - #6335: Crash or hard shutdown can case database     inconsistency, out of sync

  - Enhancements :

  - #5786: Consider always running the monitor process

  - #5898: Database performance: reduce duplication

  - #5914: Limit folder concurrency to improve performance

  - #6302: Avoid thundering herd issue by global request     limiter

  - Change the Go build requirement to a more flexible     'golang(API) >= 1.12'.

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Syncthing 是一款连续文件同步程序。在 1.15.0版本之前的 Syncthing 中可通过发送具有负长度字段的中继消息导致中继服务器“strelaysrv”崩溃并退出。同样，如果在尝试加入中继时收到来自恶意中继服务器的畸形消息，Syncthing 本身可能会出于同样的原因而崩溃。中继加入本质上是随机的（来自低延迟中继的子集），Syncthing 在崩溃时会默认重新启动，此时它很可能会选择另一个非恶意的中继。已在版本 1.15.0中修复此缺陷。 (CVE-2021-21404)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Syncthing 是一個持續檔案同步程式。在 1.15.0版之前的 Syncthing 中可傳送含有負長度欄位的轉送訊息從而造成轉送伺服器「strelaysrv」當機並結束。同樣地如果在嘗試加入轉送時收到來自惡意轉送伺服器的格式錯誤訊息則 Syncthing 本身可能會因相同原因而損毀。轉送加入基本上是隨機的 (來自低延遲轉送的子集)而且 Syncthing 會在當機時依預設重新啟動此時它可能會挑選另一個非惡意的轉送。此瑕疵已在版本 1.15.0中修正。 (CVE-2021-21404)

請注意，Nessus 依賴供應商報告的套件存在。

ID	Name	Product	Family	Published	Updated	Severity
148520	FreeBSD : syncthing -- crash due to malformed relay protocol message (9ee01e60-6045-43df-98e5-a794007e54ef)	Nessus	FreeBSD Local Security Checks	4/14/2021	4/16/2021	high
245272	Linux Distros Unpatched Vulnerability : CVE-2021-21404	Nessus	Misc.	8/7/2025	8/7/2025	high
149541	openSUSEセキュリティ更新プログラム: syncthing(openSUSE-2021-688)	Nessus	SuSE Local Security Checks	5/18/2021	1/1/2024	high
245272	Linux Distros のパッチ未適用の脆弱性: CVE-2021-21404	Nessus	Misc.	8/7/2025	8/7/2025	high
149541	openSUSE Security Update : syncthing (openSUSE-2021-688)	Nessus	SuSE Local Security Checks	5/18/2021	1/1/2024	high
245272	Linux Distros 未修补的漏洞：CVE-2021-21404	Nessus	Misc.	8/7/2025	8/7/2025	high
245272	Linux Distros 未修補的弱點：CVE-2021-21404	Nessus	Misc.	8/7/2025	8/7/2025	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high