CVE-2026-79775
Açıklama
rclone v1.72.0 ve v1.74.4 (v1.75.0'da düzeltildi) arasındaki sürümler, archive backend'inin github.com/diskfs/go-diskfs bağımlılığına dayanan SquashFS ayrıştırıcısında birden fazla hizmet reddi güvenlik açığı içerir. Ayrıştırıcı, saldırgan tarafından kontrol edilen superblock ve metadata değerlerini kullanmadan önce doğrulamada başarısız olur. rclone :archive: remote aracılığıyla erişime açılan depolamaya bir SquashFS imajı yerleştirebilen veya değiştirebilen bir saldırgan, tamsayı sıfıra bölme paniği (sıfır blok boyutu), sınır dışı dilim paniği (aralık dışı inode metadata ofseti) veya ilerleme göstermeyen CPU döngüsü (kesilmiş metadata akışı) tetikleyen kötü amaçlı bir imaj oluşturabilir. Varyant 1 ve 2 rclone sürecini sonlandırır ve 'rclone serve sftp' aracılığıyla tüm SFTP sunucusunu çökertebilir; varyant 3 sürekli CPU tüketimine neden olur. Ayrıştırma tembeldir, bu nedenle bir kurbanın veya uzak istemcinin tetiklemesi için kötü amaçlı arşiv nesnesine erişmesi veya içine inmesi gerekir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rclone rclone | 1.72.0 ≤ v ≤ 1.74.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.