🇰🇷 한글 설명
rclone은 다양한 클라우드 스토리지 제공업체와 파일 및 디렉터리를 동기화하는 명령줄 프로그램입니다. v1.75.0 이전 버전에서는 SFTP 원격 경로를 PowerShell 해시 명령에 삽입하면서, 경로 이스케이프 함수가 ASCII 작은따옴표만 처리하여 U+2018, U+2019, U+201A, U+201B 같은 유니코드 따옴표가 PowerShell에서 작은따옴표로 해석되는 문제가 있습니다. 공격자가 조작한 파일명으로 경로 리터럴을 종료하고 PowerShell 구문을 추가하면, 서버 측 해시 실행 시 피해자의 SSH 계정 권한으로 임의 코드가 실행될 수 있습니다.
💡 쉬운 설명
rclone이 원격 서버에서 파일 해시를 계산할 때 파일 이름을 잘못 처리하여, 악성 파일 이름을 통해 명령어가 실행될 수 있습니다. 공격자가 특수한 따옴표가 포함된 파일을 준비하면 사용자의 계정 권한으로 원하지 않는 작업이 수행될 수 있습니다.
🇺🇸 원문 (English)
rclone is a command-line program to sync files and directories to and from different cloud storage providers. Prior to v1.75.0, rclone interpolates remote SFTP paths into PowerShell hash commands in backend/sftp/sftp.go, and quoteOrEscapeShellPath escapes only ASCII apostrophe even though PowerShell treats U+2018, U+2019, U+201A, and U+201B as single-quote delimiters, allowing an attacker-controlled filename to terminate the intended path literal and append PowerShell statements that execute as the victim SSH account when server-side hashing is invoked. This issue is fixed in v1.75.0.
📍 영향받는 시스템
rclone v1.75.0 미만 버전 (SFTP 백엔드 사용 시, 서버 측 해시 기능 호출 환경)
⚔️ 공격 벡터
공격자가 SFTP 서버에 유니코드 따옴표가 포함된 악성 파일명을 생성하고, rclone이 해시를 계산할 때 PowerShell 명령 삽입을 통해 피해자 SSH 계정 권한으로 코드를 실행
🛡️ 대응 방법
rclone을 v1.75.0 이상으로 업데이트하고, 신뢰할 수 없는 SFTP 서버 동기화를 피하며 가능하면 해시 기능 사용을 제한
🔧 검증 코드
출력된 버전이 v1.75.0 미만이면 취약하므로 업데이트가 필요하고, v1.75.0 이상이면 패치가 적용된 것입니다.
rclone version 2>/dev/null | head -n 1