CVE-2026-88015 in Rclone
요약
\~에 의해 VulDB • 2026. 09. 10.
rclone은 다양한 클라우드 스토리지 제공업체 간에 파일 및 디렉토리를 동기화하기 위한 명령줄 프로그램입니다. 버전 1.75.1 이전의 backend/local에서 --links 또는 links=true 옵션을 사용할 경우 심볼릭 링크 대상이 .rclonelink 객체로 노출되며, fs.RangeOption.Decode는 Object.Open과 openTranslatedLink를 통해 검증되지 않은 양수 Range 시작값을 전달할 수 있습니다. 해당 함수는 대상 문자열을 linkdst[offset:]처럼 슬라이싱하므로, 대상 길이보다 큰 Range 시작 값은 lib/http/serve가 HTTP 또는 WebDAV를 통해 객체를 노출할 때 결정적인 slice-bounds 패닉(panic)을 유발합니다. Go net/http는 일반적으로 연결별로 이 패닉을 복구하여 전체 프로세스 종료보다는 요청 수준의 서비스 거부(Denial of Service, DoS)를 초래합니다. 이 문제는 버전 1.75.1에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.