There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - rclone is a command-line program to sync files and directories to and from different cloud storage
    providers. Prior to 1.75.1, rclone serve s3 configured with --auth-proxy but without --auth-key allows
    authPairMiddleware to register any client-chosen accessKeyID with an empty ws.s3Secret. gofakes3 then
    verifies the request’s SigV4 signature against that same empty secret, while Server.auth passes the access
    key identifier as both the user and authentication value to the proxy without an independent per-identity
    secret. An unauthenticated network attacker can therefore choose an arbitrary access key, sign with an
    empty secret, and reach whatever backend the auth-proxy script resolves for that identity. This issue is
    fixed in version 1.75.1. (CVE-2026-88018)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - rclone 是一個命令行程序，用於在不同的雲存儲提供商之間同步文件和目錄。在之前 1.75.1，rclone 服務設定有 --auth-proxy 但沒有 --auth-key 允許 authPairMiddleware 使用空的 ws.s3Secret 註冊任何用戶端選擇的 accessKeyID。 然後，gofakes3 會針對相同的空密碼驗證要求的 SigV4 簽章，而 Server.auth 會將存取金鑰識別碼作為使用者和驗證值傳遞給 Proxy，而不需要獨立的每個身分密碼。因此，未經驗證的網路攻擊者可以選擇任意存取金鑰，使用空密碼簽署，並存取 auth-proxy 指令碼針對該身分解析的任何後端。1.75.1 版已修正此問題。(CVE-2026-88018)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - rclone 是一个命令行程序，用于将文件和目录同步到不同云存储提供商，或从不同云存储提供商同步。在低于 1.75.1之前版本的 rclone 服务 s3 配置有 --auth-proxy 但不配置 --auth-key 允许 authPairMiddleware 使用空 ws.s3Secret 注册任何客户端选择的 accessKeyID。然后，gofakes3 会根据该相同的空密码验证请求的 SigV4 签名，而 Server.auth 会将访问密钥标识符作为用户和身份验证值传递到代理，而无需独立的每个身份密钥。因此，未经身份验证的网络攻击者可以选择任意访问密钥，使用空机密签名，并访问 auth-proxy 脚本针对该身份解析的任意后端。此问题已在 1.75.1 版本中修复。(CVE-2026-88018)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - rclone は、さまざまなクラウドストレージプロバイダーとの間でファイルやディレクトリを同期するためのコマンドラインプログラムです。1.75.1より前は、--auth-proxyで構成されているが--auth-key設定されていない rclone サーブ s3 により、authPairMiddleware は、クライアントが選択した任意の accessKeyID を空の ws.s3Secret で登録できます。その後、gofakes3 はリクエストの SigV4 署名を同じ空の秘密と照合して検証しますが、Server.auth は、独立したアイデンティティごとのシークレットなしで、アクセスキー識別子をユーザーおよび認証値の両方としてプロキシに渡します。したがって、認証されていないネットワーク攻撃者が任意のアクセスキーを選択し、空の秘密で署名し、auth-proxyスクリプトがそのIDに対して解決するバックエンドに到達する可能性があります。この問題はバージョン 1.75.1 で修正されています。(CVE-2026-88018)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - rclone is a command-line program to sync files and directories to and from different cloud storage     providers. Prior to 1.75.1, rclone serve s3 configured with --auth-proxy but without --auth-key allows     authPairMiddleware to register any client-chosen accessKeyID with an empty ws.s3Secret. gofakes3 then     verifies the request's SigV4 signature against that same empty secret, while Server.auth passes the access     key identifier as both the user and authentication value to the proxy without an independent per-identity     secret. An unauthenticated network attacker can therefore choose an arbitrary access key, sign with an     empty secret, and reach whatever backend the auth-proxy script resolves for that identity. This issue is     fixed in version 1.75.1. (CVE-2026-88018)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
447926	SCA: security update for github.com/rclone/rclone (GHSA-xwwr-4h3p-r22c)	Tenable Self-Hosted Container Security	SCA Checks	2026/9/11	2026/9/11	critical
447926	SCA: security update for github.com/rclone/rclone (GHSA-xwwr-4h3p-r22c)	Tenable Cloud Security	SCA Checks	2026/9/11	2026/9/11	critical
344701	Linux Distros 未修補弱點：CVE-2026-88018	Nessus	Misc.	2026/9/11	2026/9/11	critical
344701	Linux Distros 未修补的漏洞：CVE-2026-88018	Nessus	Misc.	2026/9/11	2026/9/11	critical
344701	Linux Distros のパッチ未適用の脆弱性: CVE-2026-88018	Nessus	Misc.	2026/9/11	2026/9/11	critical
344701	Linux Distros Unpatched Vulnerability : CVE-2026-88018	Nessus	Misc.	2026/9/11	2026/9/11	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical