versões rclone >= v 1.72.0 e <= v 1.74.4 (fixado em v 1.75.0 ) contêm várias vulnerabilidades de negação de serviço no analisador SquashFS do arquivo, que depende da dependência do github.com/ diskfs/ go- diskfs. O analisador não valida os valores do superbloco e dos metadados controlados pelo atacante antes de usar. Um atacante que pode colocar ou modificar uma imagem SquashFS no armazenamento exposto através de um rclone:archive: o controle remoto pode criar uma imagem maligna que ativa um pânico de divisão inteiro por zero (tamanho de bloco zero), um pânico de corte fora de limites (ofensão de metadados de inodos fora de alcance), ou um loop de CPU não progredido (fluxo de metadados truncado). Variantes 1 e 2 encerrar o processo rclone e, através do 'rclone serve sftp', pode bloquear todo o servidor SFTP; variante 3 causa o consumo sustentado da CPU. A análise é preguiçosa, por isso uma vítima ou um cliente remoto deve endereçar ou descer para o objeto de arquivo malicioso para acioná- lo. Registro de aconselhamento: GHSA-hqq 5 - m 7 fp- mqc 3. Identificadores relacionados: CVE- 2026 - 79775.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 25 T 18: 31: 54.000 Z e lista a sua última modificação como 2026 - 08 - 25 T 18: 31: 54.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H; CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 129. O registro contém 3 suporte de referências nestes tipos: WEB, AVISO.