Hay un mensaje de Andrew Tridgell disponible en LWN - rsync (1999) y +Stuttgart BUGTRAQ - 1999.
Aquí hay varios extractos del mensaje de Andrew a BUGTRAQ:
... lanzó rsync 2.3.1 para corregir [el agujero de seguridad].
Un usuario no podía aprovechar este agujero deliberadamente para obtener privilegios (p. ej. esto no es un agujero de seguridad «activo»), pero un administrador de sistemas podría ... comprometer la seguridad de su sistema sin darse cuenta.
La corrección está en cambiar los permisos de su directorio personal y poner los permisos correctos, además de actualizar a rsync 2.3.1. El error está en el lado receptor de rsync, por lo que es suficientemente seguro seguir usando los servidores de rsync anónimos una vez que actualice su cliente.
Este error ha estado presente en todas las versiones de rsync. Pido disculpas por las molestias que haya podido causar.