CVE-2026-79775 in rclone
Сводка
по VulDB • 25.08.2026
Версии rclone >= v1.72.0 и <= v1.74.4 (исправлено в v1.75.0) содержат несколько уязвимостей, приводящих к отказу в обслуживании (DoS), в парсере SquashFS бэкенда архивов, который зависит от библиотеки github.com/diskfs/go-diskfs. Парсер не проверяет значения суперблока и метаданных, контролируемые злоумышленником, перед их использованием. Злоумышленник, имеющий возможность разместить или изменить образ SquashFS в хранилище, доступном через удаленный ресурс rclone :archive:, может создать вредоносный образ, который вызовет панику из-за целочисленного деления на ноль (нулевой размер блока), панику выхода за границы массива (смещение метаданных inode вне допустимого диапазона) или бесконечный цикл с высокой нагрузкой на процессор (обрезанный поток метаданных). Варианты 1 и 2 приводят к завершению процесса rclone, а через 'rclone serve sftp' могут вызвать крах всего сервера SFTP; вариант 3 вызывает длительное потребление ресурсов CPU. Парсинг выполняется лениво, поэтому жертва или удаленный клиент должны обратиться к вредоносному объекту архива или перейти в него, чтобы активировать уязвимость.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.