検出

openSUSE 16 セキュリティ更新 : rclone (openSUSE-SU-2026:21999-1)

high Nessus プラグイン ID 362530

Language:

概要

リモートの openSUSE ホストに 1 つ以上のセキュリティアップデートがありません。

説明

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21999-1 アドバイザリで言及されています。

 rclone の変更:

 - バージョン 1.75.1 へのアップデート: (boo#1279548)
 - セキュリティ
 - アーカイブ
 - 信頼できない zip ファイルの zip スリップパストラバーサルを修正します GHSA-66hp-wgxq-6f5q CVE-PENDING(Nick Craig-Wood 氏)
 - 一覧表示されているディレクトリをエスケープするアーカイブエントリを非表示にします GHSA-66hp-wgxq-6f5q(Nick Craig-Wood 氏)
 - squashfs イメージをマウントする際に安全でないエントリ名を拒否します GHSA-66hp-wgxq-6f5q(Nick Craig-Wood 氏)
 - sibling ディレクトリ GHSA-66hp-wgxq-6f5q と一致する zip サブディレクトリの root を修正します(Nick Craig-Wood 氏)
 - という名前の zip エントリを修正します。他のすべてのファイルを非表示にします GHSA-66hp-wgxq-6f5q(Nick Craig-Wood 氏)
 - ./ または // GHSA-66hp-wgxq-6f5q を含むアーカイブパスに対してディレクトリが見つからない問題を修正します(Nick Craig-Wood 氏)
 - ビルド
 - go1.26.6 にアップグレードして複数の CVE を修正(Nick Craig-Wood 氏)
 - CVE-2026-56860:net/url:resolvePath の二次複雑度
 - CVE-2026-56858:html/template:JavaScript 正規表現コンテキストトラッキング
 - CVE-2026-56862:crypto/tls:ハンドシェイク後に受け入れられるハンドシェイクメッセージを制限します
 - CVE-2026-56853:net/http:暗号化されていない HTTP/2 チェックに ReadHeaderTimeout を適用します
 - CVE-2026-56859:encoding/xml:デコード中の再帰デプスガード
 - CVE-2026-33818:encoding/asn1:最大の再帰深度を強制します
 - CVE-2026-46600:net:dnsmessage の無効な SVCB または HTTPS RR を解析するパニック
 - CVE-2026-39821:net/http:idna における ASCII 専用の Punycode エンコードラベルを拒否します
 - golang.org/x/crypto を v0.56.0 に更新して、複数の CVE を修正(Nick Craig-Wood 氏)
 - CVE-2026-56854:ssh:source-address の重要なオプションが非公開鍵認証コールバックに対して実施されません
 - CVE-2026-78662:ssh:悪意のあるピアが、未決定のチャネルの受信リクエストをフラッディングし、接続をデッドロックさせる可能性があります
 - CVE-2026-56855:ssh:悪意のあるピアが、確立されたチャネルで細工されたメッセージを送信し、接続をデッドロックさせる可能性があります
 - golang.org/x/image を v0.45.0 に更新し、 CVE-2026-46603 を修正(Nick Craig-Wood 氏)
 - CVE-2026-46603:VP8L デコーディング中の過剰なメモリ割り当て
 - fs:root をエスケープするディレクトリ一覧表示エントリを制限します GHSA-3vxh-3pcx-9m8q GHSA-38xv-hf3p-h7mq CVE-PENDING (Nick Craig-Wood 氏)
 - fshttp:リダイレクト時に --header 値を他のホストに送信しません GHSA-486v-q2wf-fp2r CVE-PENDING (Nick Craig-Wood)
 - http:構成されたヘッダーを他のホストに漏洩したり、リダイレクト上の平文で漏洩したりしません GHSA-486v-q2wf-fp2r CVE-PENDING (Nick Craig-Wood)
 - lib/rest:リダイレクトで元のリクエストに対して HTTPS ダウングレードをチェックします GHSA-486v-q2wf-fp2r CVE-PENDING (Nick Craig-Wood 氏)
 - ローカル
 - dir メタデータが、植えられたシンボリックリンクを介してルートをエスケープするのを修正します GHSA-f8g7-2xjc-7mfh CVE-PENDING(Nick Craig-Wood 氏)
 - 植えられたシンボリックリンクを介してルートをエスケープする btime を修正します GHSA-f8g7-2xjc-7mfh CVE-PENDENDING(Nick Craig-Wood 氏)
 - シンボリックリンクの末尾を越えた範囲リクエストのパニックを修正 GHSA-p6m2-r3w9-mpxw CVE-PENDING (Nick Craig-Wood)
 - docker を供給する
 - ベースディレクトリ GHSA-p6vx-hf7p-98j6 をエスケープするボリューム名を拒否します(Nick Craig-Wood 氏)
 - ベースディレクトリ自体に解決されるボリューム名を拒否します GHSA-p6vx-hf7p-98j6(Nick Craig-Wood 氏)
 - 状態を復元する際、名前からボリュームマウントポイントを再派生させます GHSA-p6vx-hf7p-98j6(Nick Craig-Wood 氏)
 - serve ftp:ユーザー名によって認証情報を共有する auth-proxy セッションを修正します GHSA-c476-6w5q-jw77 CVE-PENDING(Nick Craig-Wood 氏)
 - サーブ S3
 - クライアント宣言のマルチパートパートサイズによるメモリ枯渇を修正します GHSA-2p48-j3qc-rx9f CVE-PENDENDING(Nick Craig-Wood 氏)
 - 並べ替えバッファ GHSA-2p48-j3qc-rx9f の偽造マルチパートパーツサイズを拒否します(Nick Craig-Wood 氏)
 - 空の秘密 GHSA-xwwr-4h3p-r22c CVE-PENDING で署名されたリクエストを受け入れる auth プロキシを修正します(Nick Craig-Wood 氏)
 - 注意:serve s3 の認証プロキシプロトコルが変更されています - プロキシプログラムには現在、ユーザーとしてアクセスキー ID が与えられ、_secret_access_keyとして機密を返す必要があります
 - 各サーバーが他のすべてのサーバーの --auth-key 認証情報を受け入れるように修正します(Nick Craig-Wood 氏)
 - rc 経由で認証プロキシを使用する際に誤解を招く匿名アクセスログを修正します GHSA-p569-5gjg-9cmj CVE-PENDING(Nick Craig-Wood 氏)
 - serve sftp:rc を介して構成された認証プロキシがサイレントに無視される問題を修正します GHSA-p569-5gjg-9cmj CVE-PENDING(Nick Craig-Wood 氏)
 - バグ修正
 - accounting
 - 長時間実行される rcd のメモリリークを修正します(nielash)
 - 長時間実行される rcd の統計グループからのメモリリークを修正します(nielash)
 - bwlimit バーストオーバーフローを修正(Rayan Salhab 氏)
 - bisync
 - rc 経由で実行する際のメモリリークを修正します(nielash)
 - 同期済みとして記録されている空のファイルの転送失敗を修正します(Nick Craig-Wood 氏)
 - build:golang.org/x/crypto v0.56.0 で必要とされるため、go1.26 を最低限必要なバージョンにします(Nick Craig-Wood 氏)
 - config:ログの env var 構成値を修正します(Pastalikek65)
 - doc 修正(Anton Karpov 氏、CAOShurong 氏、Dean Chen 氏、Nick Craig-Wood 氏、Recoordinate、Rodrigo Rodrigues 氏、Shantanav Mukherjee 氏、shaurya 氏)
 - lib/batcher:コミット競合するシャットダウンを阻止します(Loi Nguyen 氏)
 - lib/transform:truncate_keep_extension におけるパニックを修正します(VXNCXNX)
 - multipart:ソースが早期に終了する場合に、切り捨てられたオブジェクトを保存するチャンクアップロードを修正します(Nick Craig-Wood 氏)
 - 操作:ソースが早期に終了するストリーミングアップロードのサイレント切り捨てを修正します(Nick Craig-Wood 氏)
 - サーブ
 - サーバーの起動障害およびシャットダウン時の VFS インスタンスの漏洩を修正します(Hakan SMAL)
 - クライアント IP アドレスを認証プロキシに渡します(am-at-enrollvb)
 - serve http:ページリロード時に先頭までスクロールすることを防ぎます(Sune M?lgaard 氏)
 - serve nfs: --vfs-links でシンボリックリンクを作成する際の EIO を修正します(SillyZir)
 - サーブ S3
 - アップロードの失敗、キーのオブジェクトの削除または破損を修正します(Nick Craig-Wood 氏)
 - パートのアップロード中にマルチパートのアップロードが中止される際のクラッシュを修正します(Nick Craig-Wood 氏)
 - PUT で mtime メタデータのみが提供される際に modtime が設定されない問題を修正します(Nick Craig-Wood 氏)
 - すべてのマルチパートアップロードを VFS 経由でアップロードし、それらが従うようにします
 --bwlimit そしてスタッツで表示する(ニック・クレイグ・ウッド)
 - 一時オブジェクト用に .rclone_temp_ プレフィックスを予約します(Nick Craig-Wood 氏)
 - 次の時点で、放棄されたマルチパートアップロードをクリーンアップします
 --multipart-expiry（Nick Craig-Wood氏）
 - vfscache
 - アイテムサイズが読み取りオフセットを下回ったときのリーダーのデッドロックを修正します(Dave)
 - 繰り返される書き込みエラーに制限なく増え続けるログメッセージを修正します(Vijay Misal 氏)
 - walk:コンテキストがキャンセルされるとディレクトリトラバーサルを停止します(Rahman Yilmaz 氏)
 - VFS
 - poll 更新をシャットダウンと同期(Loi Nguyen 氏)
 - ポールシャットダウンのライフサイクルを決定論的にします(Loi Nguyen 氏)
 - Crypt
 - アップロードのハッシュをチェックするバックエンドの no_data_encryption とのハッシュの不一致を修正します(Nick Craig-Wood 氏)
 - バージョン管理されたファイル名のようなディレクトリ名を修正(TowyTowy)
 - レガシーバージョンのような暗号化された名前のあるディレクトリについて警告します(Nick Craig-Wood 氏)
 - Azure Blob
 - Entra ID サーバー側のコピーソース認証を修正 (Edward Klesel)
 - チャンク読み取り中の偽造 vfs キャッシュ破損エラーを修正します(Nick Craig-Wood 氏)
 - Azurefiles
 - ソースが早期に終了する際に作成されるゼロパディングファイルを修正します(Nick Craig-Wood 氏)
 - Box
 - ソースが早期に終了する際に、切り捨てられたファイルが正常にアップロードされるのを修正(Rohit Behera)
 - 圧縮
 - ソースが早期に終了する際に作成される破損オブジェクトを修正(Nick Craig-Wood 氏)
 - Drive
 - ディレクトリを trash に削除するときにゴミ箱に入れられたファイルをリストしません(alliasgher)
 - Dropbox
 - 検索で用紙エクスポートパスを保存(Loi Nguyen 氏)
 - in-flight リクエストを停止しないコンテキストキャンセル(例: --max-duration 制限)を修正します(debaditya)
 - 切り捨てられたファイルのチャンクアップロードが完了しない問題を修正します(Nick Craig-Wood 氏)
 - アップロードがキャンセルされた場合は、チャンクされたアップロードリクエストを再試行しません(Nick Craig-Wood 氏)
 - 受信した共有ファイル名をデコードします(Sanjay Kanth A 氏)
 - root のケースが Dropbox と異なる場合に ChangeNotify を修正します(Loi Nguyen 氏)
 - Filelu
 - ソースが早期に終了する際に、切り捨てられたファイルが正常にアップロードされるのを修正します(Nick Craig-Wood 氏)
 - マルチパートフォルダー作成中の重複ルートパスを修正します(kingston125)
 - ファーウェイドライブ
 - ソースが早期に終了する際に、切り捨てられたファイルが正常にアップロードされるのを修正(Rohit Behera)
 - Iclouddrive
 - 412 で失敗するアプリコンテナへのアップロードを修正します(Christian De Santis 氏)
 - インターネットアーカイブ
 - ソースが早期に終了する際に作成される破損ファイルを修正(Nick Craig-Wood 氏)
 - インターン
 - ユーザー情報呼び出しによって返される、回転済みトークンを持続します(0rangeSeaW0lf)
 - Onedrive
 - 403 を修正します:個人用 onedrive(machsix)の構成が禁止されています
 - ドライブ一覧表示に失敗した場合に、手動ドライブ ID エントリにフォールバックします(SillyZir)
 - 404 でマルチパートアップロードチャンクを再試行しません(アップロードセッションが見つかりません)(water)
 - 概要
 - 内部エラーの修正:32 ビットアーキテクチャで概要データが見つかりません(Nick Craig-Wood 氏)
 - ピクパク
 - ソースが早期に終了する際に作成される切り捨てられたファイルを修正します(Nick Craig-Wood 氏)
 - ソースが早期に終了する場合に ok として報告される、切り捨てられた単一部分のアップロードを修正します(Nick Craig-Wood 氏)
 - Protondrive
 - v1.75.0 でアップロードされたファイルが Proton アプリで読み取れない問題を修正します(Nick Craig-Wood 氏)
 - 再試行したアップロードエラーの後の破損したアップロードを修正します(Nick Craig-Wood 氏)
 - クアトリックス
 - チャンクアップロードの再試行を修正し、メモリリークを修正します(Nick Craig-Wood 氏)
 - S3
 - メガエンドポイントの更新(Nick Craig-Wood 氏)
 - ETag なしの UploadPart の成功を再試行可能なエラーとして処理します(CAOShurong)
 - --s3-no-head-object によるサーバー側のコピー失敗を修正します(Anatoly Tarnavsky 氏)
 - シア
 - ソースが早期に終了する際に作成される破損ファイルを修正(Nick Craig-Wood 氏)
 - SMB
 - SetModTime のアップロード接続を再利用(alliasgher)
 - WebDAV
 - Nextcloud において SetModTime の失敗と欠落しているハッシュを修正します(Nick Craig-Wood 氏)
 - Yandex
 - ソースが早期に終了する際に、切り捨てられたファイルが正常にアップロードされるのを修正(Rohit Behera)

 - バージョン 1.75.0 への更新:
 - 新しい S3 プロバイダー
 - スケーリティ(リング/アルテスカ)
 - ゼロサービス(ZERO-Z3)
 - セキュリティ
 - archive:無効な形式の squashfs 画像でクラッシュしません GHSA-6jcg-q3wp-x2f4 CVE-PENDING (Nick Craig-Wood)
 - ftp:エンコーディングに CRLF が含まれない場合での ftp コマンドインジェクションを修正 GHSA-8c48-q9wj-3w37 CVE-PENDING(Nick Craig-Wood 氏)
 - lib/http --addr TLS: --cert と
 --key are set GHSA-mfvx-7rcj-9m5g(Nick Craig-Wood 氏)
 - lib/proxy:OOM GHSA-xhf4-832v-7xcr CVE-PENDING を引き起こす、バインドされていない HTTP CONNECT ヘッダーを修正します(Nick Craig-Wood 氏)
 - local:宛先ディレクトリをエスケープするソースファイル名を停止します GHSA-7p4m-qxvv-g567 CVE-PENDING(Nick Craig-Wood 氏)
 - rc
 - 認証されていないサーバーで pprof デバッグハンドラーを漏洩しません GHSA-mfvx-7rcj-9m5g CVE-PENDING (Nick Craig-Wood)
 - --rc-serve GHSA-mfvx-7rcj-9m5g でリモートを一覧表示するために認証を必須にします(Nick Craig-Wood 氏)
 - パニック時のスタックトレースの漏洩を修正します GHSA-gwfq-86j8-7qhv(Nick Craig-Wood 氏)
 - s3
 - リダイレクト認証情報の漏洩を修正し、HTTPS->HTTP を拒否し、機密情報を取り除きます GHSA-8mxv-9xhp-86h4(Nick Craig-Wood 氏)
 - クロスホストリダイレクト GHSA-8mxv-9xhp-86h4 で S3 Express セッショントークンを取り除きます(Nick Craig-Wood 氏)
 - serve ftp:パスワードチェックで一定時間の比較を使用します GHSA-mfvx-7rcj-9m5g(Nick Craig-Wood 氏)
 - serve restic:サーバーディレクトリの上のパストラバーサルを修正します GHSA-45pq-889g-fcgh CVE-PENDING(Nick Craig-Wood 氏)
 - serve sftp:正しくないリクエストでサーバー全体がクラッシュしません GHSA-6jcg-q3wp-x2f4(Nick Craig-Wood 氏)
 - sftp:PowerShell リモートの細工されたファイル名によるコマンドインジェクションを修正します GHSA-2m8m-jhrm-w6j2 CVE-PENDING(Nick Craig-Wood 氏)
 - vfs:バックエンドがバックグラウンド goroutine でパニックが発生した場合にプロセスをクラッシュさせません GHSA-6jcg-q3wp-x2f4(Nick Craig-Wood 氏)
 - webdav
 - 認証情報 GHSA-h4mf-4v27-hggj を漏洩する HTTPS から HTTP へのリダイレクトを修正します(Nick Craig-Wood 氏)
 - Tus:潜在的な nil ポインタークラッシュを修正します GHSA-3x6r-wxxg-53vv(Nick Craig-Wood 氏)
 - google.golang.org/grpc を更新して、複数のセキュリティの問題を修正します(Nick Craig-Wood 氏)
 - 新機能
 - build:すべての依存関係を更新します(Nick Craig-Wood 氏)
 - config
 - config unset コマンドを追加して、リモートからオプションを削除します(Nick Craig-Wood 氏)
 - 構成ウィザードに階層を追加(dougal)
 - docker serve
 - ボリューム復元にタイムアウトを追加し、遅いリモートが起動をブロックしないようにします(Nick Craig-Wood 氏)
 - ボリュームを同時に復元して、1 つの遅いリモートが他のリモートをブロックしないようにします(Nick Craig-Wood 氏)
 - Create を冪等にして、再起動後にボリュームがすでに存在しないようにします(Nick Craig-Wood 氏)
 - doc 修正(blackflytech、dougal、Giridhar、KTibow、mathieulongtin、Nick Craig-Wood、p1、Socialpranker、S?ren Lindberg、yashanil98)
 - フィルター
 - glob フィルターのネスト化された {} 代替をサポート(最大化)
 - --files-from0 を追加し、NUL 区切り入力をサポートします(Gaurav)
 - fserrors:http2 サーバーが GOAWAY を送信したのを再試行可能なエラーにします(phatlc)
 - fshttp
 - --dump エラーを追加して、失敗した HTTP トランザクションのみをダンプします(Nick Craig-Wood 氏)
 - httptrace を介して、 --dump トレースをログ接続レベルイベントに追加します(Nick Craig-Wood 氏)
 - GUI
 - gzip/deflate 圧縮で静的ファイルを提供(Leon Brocard 氏)
 - 常にバインドアドレスから派生するのではなく、明示的な --rc-allow-origin を尊重します(Kyue)
 - 埋め込みリリースを 1.1.11 に更新(Nick Craig-Wood 氏)
 - mount2:FUSE_ALLOW_IDMAPをアドバタイズするための --allow-idmap を追加します(Valerij Fredriksen 氏)
 - nfsmount:OpenBSD 上で mount_nfs を直接呼び出し、-T が受け入れられるようにします(Socialpranker)
 - rc
 - prefer-async ヘッダーが渡された場合、202 で応答(FTCHD)
 - oauth リスナーをコントロールするために config/oauthstop および config/oauthstatus を追加します(FTCHD)
 - rc config/oauthstatus 応答に OAuth 承認 URL を含める(Hakan SMAL)
 - rc config およびフィルターオプションをフラットパラメーターとして設定することを許可します(Hakan SMAL)
 - サーブ
 - カスタム http 応答ヘッダーをサポートします(kkocdko)
 - ネスト化されたオプションとフラットなオプションを受け入れるようにサーブリモートコントロールを更新します(Hakan、SMAL)
 - serve dlna:SOAP リクエスト本文をバインドします(Acts1631)
 - NFS の提供
 - NFS クライアントが、サービスされるリモートのサブパスをマウントできるようにします(Nick Craig-Wood 氏)
 - *BSD NFS クライアントがマウントできるようにAUTH_UNIXアドバタイズ(Socialpranker)
 - serve s3:メモリでバッファリングする代わりに、マルチパートのアップロードをバックエンドにストリームします(Nick Craig-Wood 氏)
 - serve sftp
 - ディスク使用率を報告する [email protected] を実装します(Nick Craig-Wood 氏)
 - ファイルの時刻を設定する際に、リクエストされた atime を使用します(Nick Craig-Wood 氏)
 - serve webdav:圧縮可能な応答に対して gzip 圧縮を追加します(Leon Brocard 氏)
 - serve http: --disable-dir-list フラグを追加(Leon Brocard 氏)
 - バグ修正
 - archive/squashfs:フラグメントまたは xattr テーブルのない画像の読み取りを修正します(最大化)
 - chunkedreader:パラレルストリームが早期に閉じられるときの偽のエラーを修正します(Nick Craig-Wood 氏)
 - config
 - config/create により無視されているconfig_template_fileとconfig_templateを修正します(hexbinoct)
 - パスワードを隠すときの正規化を修正します(Nick Craig-Wood 氏)
 - docker serve:ボリュームにアクティブなマウントがある場合、再起動時のプラグインタイムアウトを修正します(Nick Craig-Wood 氏)
 - fs:rclone の構成中にデバッグログに表示されるパスワードとトークンを修正します(Nick Craig-Wood 氏)
 - gui:ワイルドカードアドレス(FTCHD)にバインドされたときのクロスオリジン API リクエストを修正します
 - hash:xxh128 ハッシャーサイズを修正します(Yuhang Cao 氏)
 - log:rclone をライブラリとしてインポートする際の副作用を修正します(Sven Rebhan 氏)
 - 3月
 - src のリスト表示が終了したときに不必要に dst ディレクトリをリストするのを修正します(Nick Craig-Wood 氏)
 - 完了した非同期 rc ジョブの goroutine 漏洩を修正します(Yash Anil 氏)
 - nfsmount:OpenBSD と互換性のないmount_nfsオプションを修正します(Socialpranker)
 - rc
 - 大きな親ディレクトリがあるディレクトリの操作/統計を修正します(Nick Craig-Wood 氏)
 - mount/* コマンドが無視している _filter パラメーターと _config パラメーターを修正します(Hakan SMAL)
 - serve:バックエンドの作成時に古い構成パラメーターを使用する auth プロキシを修正します(Nick Craig-Wood 氏)
 - サーブ S3
 - ゴーストとして現れる中止されたマルチパートアップロードを修正します(Nick Craig-Wood 氏)
 - アトミックでないストリームされたマルチパートアップロードを修正します(Nick Craig-Wood 氏)
 - 同時マルチパートアップロードでの OOM および InvalidPart のエラーを修正します(Nick Craig-Wood 氏)
 - sync:上書きの前にアップロードが必要なバックエンドの --fix-case の名前変更を修正(Nick Craig-Wood 氏)
 - Mount
 - mount RC コマンドでフラット VFS とマウントオプションをサポート(Hakan SMAL)
 - VFS
 - キャッシュファイルが削除されている場合、それを作り直すことで IO エラーを修正します(Nick Craig-Wood 氏)
 - リモートよりも大きなファイルをキャッシュする際の無効な検索位置エラーを修正します(Nick Craig-Wood 氏)
 - 次の場合に vfs キャッシュライトバックタイマーが停止しない問題を修正します
 --transfers 到達(ニック・クレイグ・ウッド)
 - 複数のマウントまたはサーバーが同じ VFS を共有する場合のクラッシュを修正します(Nick Craig-Wood 氏)
 - Local
 - --local-fatal-if-no-space フラグを追加(ferrumclaudepilgrim)
 - 相対ルートを絶対パスに解決しません(Nick Craig-Wood 氏)
 - アーカイブ
 - 更新後に無効な引数で失敗する squashfs リストを修正します(Nick Craig-Wood 氏)
 - Azure Blob
 - vfs キャッシュの再ダウンロードを引き起こす範囲読み取りでドロップされた MD5 を修正します(Nick Craig-Wood 氏)
 - 実験的な Apache Arrow リストに対する use_arrow_list フラグを追加します(Nick Craig-Wood 氏)
 - list_parallelism と並行して非常に大きなコンテナを一覧表示します(Nick Craig-Wood 氏)
 - Azurefiles
 - ファイルをアップロードした後、あるいはその modtime を設定した後の不適切な modtime を修正します(Nick Craig-Wood 氏)
 - modtime の精度を 1s から 100ns に改善(Nick Craig-Wood 氏)
 - コンバイン
 - エラーメッセージを無効なオブジェクトのリモート名として返しません(Nick Craig-Wood 氏)
 - Drime
 - アイテムから古いmux_statusフィールドを削除します(Nick Craig-Wood 氏)
 - Drive
 - 共有client_idを使用する前に構成ウィザードで警告します(Nick Craig-Wood 氏)
 - 無限再帰を回避するためにショートカットループを検出します(Nick Craig-Wood 氏)
 - Dropbox
 - impersonate_admin のサポートを追加(Gaurav)
 - --dropbox-skip-shared-folders を追加し、
 --dropbox-skip-unowned-folders (Gaurav)
 - rmdir の API 呼び出しの使用量を 1 回減らします(Socialpranker)
 - 小さなファイルをアップロードする際のメモリ使用量が大幅に減少(Nick Craig-Wood 氏)
 - 小さいファイルをアップロードする際に不要な API 呼び出しを削除します(Nick Craig-Wood 氏)
 - Filen
 - ファイルの更新後またはその modtime の設定後の不適切な modtime を修正します(Nick Craig-Wood 氏)
 - ファイルコム
 - ファイルアップロード後の MD5 ハッシュの欠落を修正します(Nick Craig-Wood 氏)
 - FTP
 - ファイルをアップロードした後、あるいはその modtime を設定した後の不適切な modtime を修正します(Nick Craig-Wood 氏)
 - Googlephotos
 - 共有client_idを使用する前に構成ウィザードで警告します(Nick Craig-Wood 氏)
 - ハッシャー
 - ファイルの置換後に bolt DB にハッシュを保存しない更新を修正(Nick Craig-Wood 氏)
 - hdfs
 - ファイルをアップロードした後、あるいはその modtime を設定した後の不適切な modtime を修正します(Nick Craig-Wood 氏)
 - ハイドライブ
 - ファイルの modtime を設定した後の不適切な modtime を修正します(Nick Craig-Wood 氏)
 - HTTP
 - 単一ファイルでポイントしている場合に親ディレクトリをリストしません(Nick Craig-Wood 氏)
 - CORS Access-Control-Allow-Headers ヘッダーに優先を追加します(sijie-z)
 - Iclouddrive
 - フォトアルバムをリストする際に番号をアンマーシャルできないエラーを修正します(Nick Craig-Wood 氏)
 - コードが有効であっても 409 で 2FA が失敗する問題を修正します(Punya Jain 氏)
 - imagekit
 - 間違ったデータを返す RangeOption で開くのを修正します(Nick Craig-Wood 氏)
 - 利用可能なメタデータに mtime を追加します(Nick Craig-Wood 氏)
 - インターン
 - サーバー側のファイルおよびディレクトリオペレーション用に Move および DirMove メソッドを追加(jzunigax2)
 - アップロード中のファイルサイズ制限エラーを処理します(jzunigax2)
 - NewFs で再認証が失敗したときの再ログインエラーが表面化します(0rangeSeaW0lf)
 - Jottacloud
 - ファイルの modtime を設定した後の不適切な modtime を修正します(Nick Craig-Wood 氏)
 - リンクボックス
 - ボット保護HTMLチャレンジ応答を失敗せずに再試行(Nick Craig-Wood氏)
 - Mailru
 - ファイルの更新後またはその modtime の設定後の不適切な modtime を修正します(Nick Craig-Wood 氏)
 - Mega
 - 名前変更後にリストに再度表示されるファイルを修正します(Nick Craig-Wood 氏)
 - リモート間のリスティングから消去された移動したファイルを修正します(Nick Craig-Wood 氏)
 - ネットストレージ
 - ファイルアップロード後の MD5 ハッシュの欠落を修正します(Nick Craig-Wood 氏)
 - Onedrive
 - 管理者なしモードのサポートを追加します(TaterLi)
 - 非 2xx preauth ダウンロードをエラーとして処理します(ifloppy)
 - マルウェアフラグが付けられたファイルを Graph Prefer ヘッダー経由でダウンロードする(ifloppy)
 - Opendrive
 - アップロードされたオブジェクトが間違ったハッシュと modtime を返すのを修正します(Nick Craig-Wood 氏)
 - Oracleobjectstorage
 - 長さが不明なオブジェクトをダウンロードする際のクラッシュを修正(Nick Craig-Wood 氏)
 - gzip でエンコードされたファイルをダウンロードするための --oos-decompress フラグを追加します(Nick Craig-Wood 氏)
 - ピクセルドレイン
 - ファイルアップロード後の不適切な modtime と欠落しているハッシュを修正します(Nick Craig-Wood 氏)
 - Protondrive
 - 適切な再試行ロジックを実装します(tomholford)
 - gopenpgp の修正:無効なデータ:カスタムドメインアカウントの間違ったタイプのユーザー ID 署名(Nick Craig-Wood 氏)
 - 永続的な検証の失敗で長いハングを修正します(Nick Craig-Wood 氏)
 - ファイルアップロード後の不適切な modtime を修正します(Nick Craig-Wood 氏)
 - Putio
 - ファイルの modtime を設定した後の不適切な modtime を修正します(Nick Craig-Wood 氏)
 - 400 TRASH_LOCK_TIMEOUT エラーで失敗する同期削除を修正します(Nick Craig-Wood 氏)
 - クアトリックス
 - ファイルアップロード後の不適切な modtime を修正します(Nick Craig-Wood 氏)
 - S3
 - Zero Services(ZERO-Z3)プロバイダーを追加(Zero Services GmbH)
 - Scality(RING / ARTESCA)プロバイダーを追加します(Dzmitry Nianakhau 氏)
 - Seafile
 - rclone が同一サイズの同期ファイルを繰り返し修正します(TowyTowy)
 - SFTP
 - --sftp-pin-host-key を追加 - 初回使用時の信頼ホストキーピンニング(Nick Craig-Wood)
 - --sftp-encoding サポートを追加します(Puneet Dixit 氏)
 - 永続的な接続エラーを再試行しません(Nick Craig-Wood 氏)
 - ホストキー検証警告のないサイレンシングを許可します(Noah Zalev 氏)
 - 変数拡張文字または改行文字を含むパスの cmd シェル実行を修正します(Nick Craig-Wood 氏)
 - シェード
 - 転送を失敗させる代わりにサーバーエラーを再試行します(Nick Craig-Wood 氏)
 - マルチパートアップロードを完了する際に EOF でアップロードが失敗する問題を修正します(Nick Craig-Wood 氏)
 - SMB
 - 接続ごとにリロードされる Kerberos 認証情報を修正します(Nick Craig-Wood 氏)
 - 接続設定に失敗した場合の TCP 接続漏洩を修正します(Nick Craig-Wood 氏)
 - 名前に特殊文字があるディレクトリのサーバー側の移動を修正します(Nick Craig-Wood 氏)
 - ディレクトリを移動する際の偽のディレクトリがすでに存在するエラーを修正します(Nick Craig-Wood 氏)
 - ウロスト
 - 異なるルート化されたリモート間でのファイル損失間のサーバー側の移動を修正します(Nick Craig-Wood 氏)
 - WebDAV
 - ファイルの modtime を設定した後の不適切な modtime を修正します(Nick Craig-Wood 氏)
 - Yandex
 - modtime を設定する前にアップロードが完了するのを待機することによる 500 エラーを修正します(Nick Craig-Wood 氏)
 - ファイルアップロード後の MD5 ハッシュの欠落を修正します(Nick Craig-Wood 氏)
 - modtime がアップロード後にランダムにアップロード時間に戻ることを修正します(Nick Craig-Wood 氏)
 - アップロード時に 500 エラーを修正する --yandex-upload-wait を追加します(Nick Craig-Wood 氏)
 - Zoho
 - 429 の Retry-After ヘッダーを優先(Erol Ozcan)
 - --zoho-tpslimit と --zoho-tpslimit-burst を追加(Erol Ozcan)
 - NOTICE でエピソードごとに 1 回のログスロットリング(Erol Ozcan)
 - 同じフォルダの繰り返しリスト表示のレート制限(Erol Ozcan)
 - 同時リストでの不安定なフォルダリストリミッターテストを修正します(Nick Craig-Wood 氏)
 - 大きなファイルの上書きを修正し、置き換える代わりに重複を作成します(Erol Ozcan)
 - ディレクトリが見つからないため認証されていない R008 処理します(Erol Ozcan)
 - 再接続時にroot_folder_idを保存し、設定を許可します(Erol Ozcan)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

影響を受ける rclone、rclone-bash-completion、rclone-zsh-completion パッケージを更新してください。

参考資料

https://bugzilla.suse.com/1279548

https://www.suse.com/security/cve/CVE-2026-33818

https://www.suse.com/security/cve/CVE-2026-39821

https://www.suse.com/security/cve/CVE-2026-46600

https://www.suse.com/security/cve/CVE-2026-46603

https://www.suse.com/security/cve/CVE-2026-56853

https://www.suse.com/security/cve/CVE-2026-56854

https://www.suse.com/security/cve/CVE-2026-56855

https://www.suse.com/security/cve/CVE-2026-56858

https://www.suse.com/security/cve/CVE-2026-56859

https://www.suse.com/security/cve/CVE-2026-56860

https://www.suse.com/security/cve/CVE-2026-56862

https://www.suse.com/security/cve/CVE-2026-78662

プラグインの詳細

深刻度: High

ID: 362530

ファイル名: openSUSE-2026-21999-1.nasl

バージョン: 1.1

タイプ: Local

エージェント: unix

公開日: 2026/10/2

更新日: 2026/10/2

サポートされているセンサー: Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5

パーセンタイル: 93.81

CVSS v2

リスクファクター: High

基本値: 9.4

現状値: 7

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N

CVSS スコアのソース: CVE-2026-56858

CVSS v3

リスクファクター: High

基本値: 8.2

現状値: 7.1

ベクトル: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

CVSS スコアのソース: CVE-2026-39821

脆弱性情報

CPE: cpe:/o:novell:opensuse:16.0, p-cpe:/a:novell:opensuse:rclone-bash-completion, p-cpe:/a:novell:opensuse:rclone-zsh-completion, p-cpe:/a:novell:opensuse:rclone

必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2026/9/28

脆弱性公開日: 2026/5/12

参照情報

CVE: CVE-2026-33818, CVE-2026-39821, CVE-2026-46600, CVE-2026-46603, CVE-2026-56853, CVE-2026-56854, CVE-2026-56855, CVE-2026-56858, CVE-2026-56859, CVE-2026-56860, CVE-2026-56862, CVE-2026-78662