PT-2026-123030
CVE-2026-116189
·
تاريخ النشر
2026-10-25
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 4.0
7.7
عاليةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
rclone الإصدارات من 1.55.0 إلى 1.75.1
الوصف
يوجد تجاوز في التحقق من التوقيع في آلية التحديث الذاتي المستقرة. يثق النظام بشكل خاطئ في مجموعات التحقق (checksums) الموجودة في بايتات غير موقعة تسبق كتلة SHA256SUMS الموقعة بواسطة PGP. يمكن للمهاجم الذي يتحكم في مسار توزيع الإصدار إضافة سطر مجموع تحقق غير موقع يتطابق مع أرشيف ضار، مما يؤدي إلى قيام عملية التحديث الذاتي بتثبيت ملف تنفيذي لبرنامج rclone يتحكم فيه المهاجم.
التوصيات
تحديث rclone إلى الإصدار 1.75.2 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾