CVE-2026-79775 in rclone
Resumen
por VulDB • 2026-08-25
Las versiones de rclone >= v1.72.0 y <= v1.74.4 (corregidas en v1.75.0) contienen múltiples vulnerabilidades de denegación de servicio (DoS) en el analizador SquashFS del backend de archivos comprimidos, que depende de la dependencia github.com/diskfs/go-diskfs. El analizador no valida los valores del superbloque y metadatos controlados por un atacante antes de su uso. Un atacante que pueda colocar o modificar una imagen SquashFS en el almacenamiento expuesto a través de un remoto rclone :archive: puede crear una imagen maliciosa que provoque un pánico por división entera entre cero (tamaño de bloque nulo), un pánico por acceso fuera de los límites del slice (desplazamiento de metadatos inode fuera de rango) o un bucle CPU sin progreso (flujo de metadatos truncado). Las variantes 1 y 2 terminan el proceso rclone y, a través de 'rclone serve sftp', pueden hacer que falle todo el servidor SFTP; la variante 3 provoca un consumo sostenido de CPU. El análisis es perezoso (lazy), por lo que una víctima o cliente remoto debe acceder al objeto del archivo malicioso para desencadenarlo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.