🇰🇷 한글 설명
rclone 1.70.0부터 1.75.1 버전 사이에서 serve/start RC 인터페이스가 서버별 proxyOpt.AuthProxy 설정을 올바르게 처리하지 못하는 취약점이 발견되었습니다. FTP 및 S3 구성 요소가 요청 로컬 인증 프록시 대신 프로세스 전역 프록시 값을 잘못 확인하여, 인증 프록시가 비어 있을 경우 의도치 않은 파일 시스템이나 백엔드로 접근하게 됩니다.
💡 쉬운 설명
클라우드 파일을 동기화하는 rclone 프로그램에서 보안 설정이 제대로 적용되지 않는 오류가 있습니다. 이로 인해 인증을 거쳐야 하는 특정 서비스가 보안이 취약한 기본 설정으로 작동하여 데이터 접근 권한 문제가 발생할 수 있습니다.
🇺🇸 원문 (English)
rclone is a command-line program to sync files and directories to and from different cloud storage providers. From 1.70.0 until 1.75.1, the serve/start RC interface accepts per-server proxyOpt.AuthProxy settings, and the FTP and S3 constructors in cmd/serve/ftp/ftp.go and cmd/serve/s3/server.go incorrectly check the process-global proxy.Opt.AuthProxy value instead. When the global value is empty, the request-local authentication proxy is ignored: FTP falls back to the fixed filesystem with username anonymous and any password, while S3 with AuthKey serves the fixed RC fs rather than the backend selected by the proxy. The dedicated command-line servers that configure the global option are not affected. This issue is fixed in version 1.75.1.
📍 영향받는 시스템
rclone version 1.70.0 ~ 1.75.1
⚔️ 공격 벡터
RC(Remote Control) 인터페이스를 통해 잘못된 프록시 설정이 적용된 FTP 또는 S3 서버를 호출하여 인증 우회 시도
🛡️ 대응 방법
rclone을 최신 버전인 1.75.1 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위(1.70.x ~ 1.75.1)가 나타나면 해당 버전이 설치된 상태입니다.
rclone version | grep -E 'rclone v(1\.[7][0-9]\.|1\.7[5]\.[0-1])'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
Minecraft Bedrock Dedicated Server