CVE-2026-79775 in rclone
Sumário
de VulDB • 25/08/2026
As versões do rclone >= v1.72.0 e <= v1.74.4 (corrigidas na v1.75.0) contêm múltiplas vulnerabilidades de negação de serviço no analisador SquashFS do backend de arquivos, que depende da biblioteca github.com/diskfs/go-diskfs. O analisador não valida os valores do superbloco e dos metadados controlados pelo atacante antes de utilizá-los. Um atacante capaz de inserir ou modificar uma imagem SquashFS no armazenamento exposto através de um remoto rclone :archive: pode criar uma imagem maliciosa que desencadeia um pânico por divisão inteira por zero (tamanho do bloco igual a zero), um pânico de acesso fora dos limites da fatia (deslocamento dos metadados inode fora do intervalo) ou um loop de CPU sem progresso (fluxo de metadados truncado). As variantes 1 e 2 encerram o processo rclone e, através do comando 'rclone serve sftp', podem derrubar todo o servidor SFTP; a variante 3 causa consumo sustentado de CPU. A análise é preguiçosa (lazy), portanto, uma vítima ou cliente remoto deve acessar ou navegar no objeto de arquivo malicioso para acionar a vulnerabilidade.
Once again VulDB remains the best source for vulnerability data.