- Yama var
- Son 7 gün
- CWE-347
CVE-2026-116189
rclone selfupdate özelliğinde SHA256SUMS üzerinden imza doğrulama atlatılması
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
rclone 1.55.0 ile 1.75.2 öncesi sürümlerdeki kararlı selfupdate özelliği, PGP ile clearsign imzalanmış SHA256SUMS bloğunun önündeki imzasız baytlardaki sağlama toplamlarına güvendiği için imza doğrulamasının atlatılmasına yol açar. Sürüm dağıtım yolunu kontrol edebilen saldırganlar, kötü amaçlı bir arşivle eşleşen imzasız bir sağlama toplamı satırını başa ekleyebilir ve bu sayede selfupdate işlevinin saldırgan kontrolündeki bir rclone çalıştırılabilir dosyasını kurmasına neden olabilir. CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H vektörüyle 7.5 (YÜKSEK) puan almıştır.
Kaynaktaki açıklama (İngilizce)
rclone from 1.55.0 before 1.75.2 contains a signature verification bypass in stable selfupdate that trusts checksums from unsigned bytes preceding the PGP-clearsigned SHA256SUMS block. Attackers controlling the release distribution path can prepend an unsigned checksum line matching a malicious archive, causing selfupdate to install an attacker-controlled rclone executable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| rclone | ≥ 1.55.0, < 1.75.2 | 1.75.2 |
| 1.75.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.