CVE-2026-79775 in rclone
要約
〜によって VulDB • 2026年08月25日
rclone の v1.72.0 以上かつ v1.74.4 以下（v1.75.0 で修正済み）には、github.com/diskfs/go-diskfs に依存するアーカイブバックエンドの SquashFS パーサーにおける複数のサービス妨害 (DoS) 脆弱性が含まれています。このパーサーは、使用前に攻撃者が制御可能なスーパーブロックおよびメタデータの値を検証しません。rclone の :archive: リモートを通じて公開されたストレージに SquashFS イメージを配置または変更できる攻撃者は、整数のゼロ除算パニック（ゼロブロックサイズ）、境界外スライスパニック（範囲外の inode メタデータオフセット）、または CPU を消費し続けるループ（切り捨てられたメタデータストリーム）を引き起こす悪意のあるイメージを作成できます。バリアント 1 および 2 は rclone プロセスを終了させ、'rclone serve sftp' を介して SFTP サーバー全体をクラッシュさせる可能性があります。バリアント 3 は持続的な CPU リソースの消費を引き起こします。パーシングは遅延実行されるため、被害者またはリモートクライアントが悪意のあるアーカイブオブジェクトにアクセスするか、その内部へ降りることでトリガーが発生します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.