rclone — это программа командной строки для синхронизации файлов и каталогов с различными поставщиками облачных хранилищ и обратно. До версии 1.75.0 действительная, но нестандартная кодировка имени файла FTP в backend/ftp/ftp.go может восстанавливать необработанный CR/LF непосредственно перед тем, как путь, контролируемый злоумышленником, интерполируется в линейно-ориентированный канал управления FTP, а github.com/jlaffaye/ftp форматирует аргумент через textproto.Conn.Cmd, не отклоняя CR или LF, позволяя имя файла, такое как CRLF жертвы, DELE другой секретный CRLF NOOP для внедрения независимой аутентифицированной команды FTP, когда жертва копирует или синхронизируется с более привилегированным местом назначения FTP. Эта проблема исправлена в версии 1.75.0.
Показать оригинальное описание (EN)
rclone is a command-line program to sync files and directories to and from different cloud storage providers. Prior to 1.75.0, a valid but nondefault FTP filename encoding in backend/ftp/ftp.go can restore raw CR/LF immediately before an attacker-controlled path is interpolated into the line-oriented FTP control channel, and github.com/jlaffaye/ftp formats the argument through textproto.Conn.Cmd without rejecting CR or LF, allowing a filename such as victim CRLF DELE other-secret CRLF NOOP to inject an independent authenticated FTP command when the victim copies or syncs to a more-privileged FTP destination. This issue is fixed in 1.75.0.
Характеристики атаки
Последствия
Строка CVSS v3.1