CVE-2026-88018 in rclone
요약
\~에 의해 VulDB • 2026. 09. 10.
rclone은 다양한 클라우드 스토리지 제공업체 간에 파일 및 디렉토리를 동기화하기 위한 명령줄 프로그램입니다. 버전 1.75.1 이전의 rclone에서 `--auth-proxy`로 구성되었지만 `--auth-key`가 설정되지 않은 경우, s3 serve 기능은 authPairMiddleware를 통해 클라이언트가 임의로 선택한 accessKeyID를 빈 ws.s3Secret과 함께 등록할 수 있습니다. gofakes3는 요청의 SigV4 서명을 해당 동일한 빈 시크릿에 대해 검증하며, Server.auth는 독립적인 per-identity 시크릿 없이 인증 프록시에 액세스 키 식별자를 사용자 및 인증 값으로 모두 전달합니다. 따라서 비인증 네트워크 공격자는 임의의 액세스 키를 선택하고 빈 시크릿으로 서명하여 해당 신원(auth-proxy 스크립트가 해결하는 백엔드)에 접근할 수 있습니다. 이 문제는 버전 1.75.1에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.