CVE-2026-88018
Təsvir
rclone müxtəlif bulud yaddaşı provayderləri ilə faylları və kataloqları sinxronizasiya etmək üçün nəzərdə tutulmuş komanda sətri proqramıdır. 1.75.1 versiyasından əvvəl, --auth-proxy konfiqurasiyası ilə lakin --auth-key olmadan işlədilən rclone serve s3, authPairMiddleware-ə boş ws.s3Secret ilə istənilən klient tərəfindən seçilmiş accessKeyID-ni qeydiyyatdan keçirməyə imkan verir. Daha sonra gofakes3 sorğunun SigV4 imzasını həmin boş sirrlə yoxlayır, Server.auth isə giriş açarı identifikatorunu həm istifadəçi, həm də autentifikasiya dəyəri kimi, hər bir şəxsiyyət üçün müstəqil sirrsiz şəkildə proksiyə ötürür. Buna görə də, autentifikasiya olunmamış şəbəkə hücumçusu ixtiyari giriş açarı seçə, onu boş sirrlə imzalaya və auth-proxy skriptinin həmin şəxsiyyət üçün təyin etdiyi hər hansı backend-ə çata bilər. Bu problem 1.75.1 versiyasında düzəldilib.
Necə düzəltmək olar
- rclone rclone1.75.1 və ya daha yeni versiya
- github.com/rclone/rclone1.75.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| rclone rclone | v < 1.75.1 | 1.75.1 |
| github.com/rclone/rcloneGo | v < 1.75.1 | 1.75.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.