CVE-2026-79775 in rclone
الملخص
بحسب VulDB • 25/08/2026
تحتوي إصدارات rclone >= v1.72.0 و<= v1.74.4 (تم إصلاحها في الإصدار v1.75.0) على ثغرات متعددة لرفض الخدمة (DoS) في مُحلل SquashFS الخاص بواجهة الخلفية للأرشيف، والتي تعتمد على التبعية github.com/diskfs/go-diskfs. يفشل المُحلّل في التحقق من صحة قيم كتلة السوبر والمُعطيات التي يتحكم فيها المهاجم قبل استخدامها. يمكن لمهاجم قادر على وضع أو تعديل صورة SquashFS في التخزين المكشوف عبر واجهة :archive: لـ rclone، أن يصنع صورة خبيثة تُسبب حالة ذعر (panic) ناتجة عن قسمة عدد صحيح على صفر (حجم كتلة يساوي صفراً)، أو حالة ذعر بسبب تجاوز حدود المصفوفة (إزاحة مُعطيات العقدة خارج النطاق)، أو حلقة CPU مستمرة دون تقدم (تدفق مُعطيات مقطوع). الإصداران 1 و2 ينهيان عملية rclone، ويمكنهما عبر 'rclone serve sftp' أن يُسببا انهيار خادم SFTP بأكمله؛ بينما يتسبب الإصدار الثالث في استهلاك مستمر لموارد وحدة المعالجة المركزية. يتم التحليل بشكل كسول (lazy)، لذا يجب على الضحية أو العميل عن بُعد الوصول إلى عنصر الأرشيف الخبيث أو النزول داخله لتفعيل الثغرة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.