- Yama var
- Son 7 gün
- CWE-639
CVE-2026-116187
Rclone serve s3 çoklu parça yüklemelerinde yetkilendirme atlatma açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Rclone v1.68.0 ile v1.75.2 öncesi sürümlerde, serve s3 --auth-proxy özelliğinde yetkilendirme atlatma açığı bulunmaktadır. Bu açık, kimliği doğrulanmış kiracıların yükleme kimliklerini (upload ID) kullanarak diğer kiracıların çoklu parça yüklemelerini değiştirmesine olanak tanımaktadır. Bir kurbanın bucket, nesne ve yükleme kimliğini öğrenen saldırganlar, devam eden yüklemelere parça ekleyebilir, yüklemeyi tamamlayabilir veya iptal edebilir ve kiracılar arası yükleme ve nesne meta verilerini görüntüleyebilir.
Kaynaktaki açıklama (İngilizce)
Rclone from v1.68.0 before v1.75.2 contains an authorization bypass vulnerability in serve s3 --auth-proxy that allows authenticated tenants to manipulate other tenants' multipart uploads by referencing their upload IDs. Attackers who learn a victim's bucket, object, and upload ID can inject parts, complete, or abort in-flight uploads and view upload and object metadata across tenants.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| rclone | ≥ 1.68.0, < 1.75.2 | 1.75.2 |
| 1.75.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.