CVE-2026-79775
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
rclone w wersjach od v1.72.0 do v1.74.4 (poprawione w v1.75.0) zawiera wiele podatności na odmowę usługi w parserze SquashFS backendu archiwum, który opiera się na zależności github.com/diskfs/go-diskfs. Parser nie sprawdza poprawności wartości superbloku i metadanych kontrolowanych przez atakującego przed ich użyciem. Atakujący, który może umieścić lub zmodyfikować obraz SquashFS w magazynie wystawionym przez zdalny :archive:, może stworzyć złośliwy obraz wywołujący panikę z powodu dzielenia przez zero (zerowy rozmiar bloku), panikę z powodu odczytu poza zakresem (przesunięcie metadanych inode poza zakres) lub pętlę CPU bez postępu (obcięty strumień metadanych). Warianty 1 i 2 kończą proces rclone i przez 'rclone serve sftp' mogą zawiesić cały serwer SFTP; wariant 3 powoduje ciągłe zużycie CPU. Parsowanie jest leniwe, więc ofiara lub zdalny klient musi odnieść się do złośliwego obiektu archiwum lub zejść do niego, aby go wyzwolić.
Ocena ryzyka
Ryzyko obejmuje przerwanie działania usług (awaria procesu rclone lub całego serwera SFTP) oraz nadmierne zużycie zasobów CPU, co może prowadzić do niedostępności usług dla użytkowników.
Rekomendacja
Zaleca się aktualizację rclone do wersji 1.75.0 lub nowszej oraz ograniczenie dostępu do zdalnych archiwów tylko dla zaufanych użytkowników.
Inne podatności w rclone
Zobacz wszystkie- CVE-2026-79783Niskie
rclone przed wersją 1.74.4 nie maskuje specjalnych bitów uprawnień podczas stosowania metadanych trybu pochodzących ze źródła w lokalnym backendzie. Atakujący mogą ustawić bity setuid/setgid na kontrolowanych plikach, co przy kopiowaniu z niezaufanego zdalnego źródła z zachowaniem metadanych może prowadzić do eskalacji uprawnień do roota, jeśli rclone działa jako root.
- CVE-2026-79780Średnie
W rclone przed wersją v1.75.0 nie są odpowiednio oczyszczane tokeny IBM IAM oraz klucze szyfrowania SSE-C podczas wywołań zwrotnych przekierowań S3, co pozwala na zachowanie poświadczeń przy zmianie schematu lub hosta. Atakujący obserwujący ruch sieciowy z zaufanego punktu końcowego może przechwycić wielokrotnego użytku tokeny IBM IAM podczas degradacji HTTPS do HTTP na tym samym hoście lub klucze SSE-C podczas przekierowań między domenami, aby uzyskać dostęp do chronionych obiektów S3.
- CVE-2026-79778Średnie
W rclone przed wersją v1.75.0 występuje podatność na atak DoS w obsłudze tworzenia WebDAV TUS, która wyłuskuje nil response przed sprawdzeniem błędów transportu. Złośliwy lub skompromitowany skonfigurowany punkt końcowy może resetować połączenia podczas przesyłania TUS, aby wywołać panic, który kończy nieodzyskane gorutyny i zatrzymuje niezwiązane prace w długo działających procesach.
- CVE-2026-49980Krytyczne
Rclone w wersjach od 1.46.0 do 1.74.2 zawiera podatność w trybie serwera (rcd --rc-serve), która pozwala nieuwierzytelnionym żądaniom GET i HEAD na wykonywanie dowolnych poleceń systemowych. Atakujący może wykorzystać specjalnie spreparowane URL-e zawierające konfigurację zdalnego magazynu, która podczas inicjalizacji wykonuje lokalne polecenia.
- CVE-2026-41179Krytyczne
W Rclone od wersji 1.48.0 do 1.73.4 punkt końcowy RC `operations/fsinfo` jest dostępny bez wymaganego uwierzytelnienia i akceptuje kontrolowane przez atakującego dane wejściowe `fs`. Nieuwierzytelniony atakujący może wykorzystać tę podatność do wykonania dowolnego polecenia lokalnego na serwerze poprzez backend WebDAV, który uruchamia `bearer_token_command` podczas inicjalizacji.
- CVE-2026-41176Krytyczne
W Rclone, punkcie końcowym RC `options/set`, brakuje wymaganego uwierzytelnienia (`AuthRequired: true`), co pozwala na modyfikację globalnej konfiguracji środowiska wykonawczego. Nieuwierzytelniony atakujący może ustawić `rc.NoAuth=true`, wyłączając w ten sposób bramę autoryzacji dla wielu metod RC, które normalnie wymagają uwierzytelnienia, co prowadzi do nieautoryzowanego dostępu do wrażliwych funkcji administracyjnych.
- CVE-2026-79782Niskie
rclone przed wersją 1.74.4 nie usuwa nagłówka X-Amz-Security-Token, gdy przekierowanie S3 zmienia schemat z HTTPS na HTTP na tym samym hoście. Atakujący mogą przechwycić niezaszyfrowany ruch HTTP, aby zdobyć tokeny sesji AWS STS wysyłane w nagłówkach żądań.
- CVE-2026-79781Średnie
W rclone serve s3 przed wersją 1.74.4 występuje podatność typu path traversal, umożliwiająca atakującym odczyt i nadpisanie plików na poziomie głównym poprzez użycie segmentów '..' w kluczach obiektów S3. Atakujący może wysyłać żądania z kluczami takimi jak '../root-secret.txt', aby wyjść poza przestrzeń nazw bucketa i uzyskać dostęp do plików w katalogu głównym serwera.
- CVE-2026-79779Średnie
W rclone przed wersją v1.75.0 nie są odrzucane degradacje transportu w obsłudze przekierowań, co pozwala na ponowne wysyłanie nagłówków Basic authorization i Cookie przez zwykły tekst HTTP po przekierowaniach HTTPS do HTTP na tym samym hoście. Atakujący znajdujący się na ścieżce sieciowej może przechwycić i wykorzystać poświadczenia do wykonania operacji WebDAV z uprawnieniami skompromitowanego konta.
- CVE-2026-79777Niskie
rclone przed wersją 1.75.0 dołącza pełne ślady stosu Go do odpowiedzi błędów API RC, gdy wystąpią paniki. Atakujący mogą wywołać paniki, aby ujawnić wewnętrzne ścieżki plików, wersje modułów, stany gorutyn i adresy pamięci.
Oryginalny opis (angielski, źródło NVD)
rclone versions >= v1.72.0 and <= v1.74.4 (fixed in v1.75.0) contain multiple denial-of-service vulnerabilities in the archive backend's SquashFS parser, which relies on the github.com/diskfs/go-diskfs dependency. The parser fails to validate attacker-controlled superblock and metadata values before use. An attacker who can place or modify a SquashFS image in storage exposed through an rclone :archive: remote can craft a malicious image that triggers an integer division-by-zero panic (zero block size), an out-of-bounds slice panic (out-of-range inode metadata offset), or a non-progress CPU loop (truncated metadata stream). Variants 1 and 2 terminate the rclone process and, via 'rclone serve sftp', can crash the entire SFTP server; variant 3 causes sustained CPU consumption. Parsing is lazy, so a victim or remote client must address or descend into the malicious archive object to trigger it.