CVE-2026-79775 in rclone
Résumé
par VulDB • 25/08/2026
Les versions de rclone >= v1.72.0 et <= v1.74.4 (corrigées dans la version v1.75.0) présentent plusieurs vulnérabilités de déni de service (DoS) dans l'analyseur SquashFS du backend d'archive, qui dépend de la bibliothèque github.com/diskfs/go-diskfs. L'analyste ne valide pas les valeurs du superbloc et des métadonnées contrôlées par un attaquant avant leur utilisation. Un attaquant capable de placer ou de modifier une image SquashFS dans le stockage exposé via une distance :archive: peut créer une image malveillante qui déclenche une panique due à une division entière par zéro (taille de bloc nulle), une panique d'accès hors limites au sein d'un slice (décalage des métadonnées inode hors plage) ou une boucle CPU non progressive (flux de métadonnées tronqué). Les variantes 1 et 2 entraînent la terminaison du processus rclone et, via 'rclone serve sftp', peuvent faire planter l'ensemble du serveur SFTP ; la variante 3 provoque une consommation soutenue des ressources CPU. L'analyse étant paresseuse (lazy), un utilisateur victime ou un client distant doit accéder à l'objet archive malveillant ou y descendre pour déclencher le problème.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.