CVE-2026-71309
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
rclone serve restic nieprawidłowo odrzuca ścieżki URL zaczynające się od ../, co pozwala atakującemu mającemu dostęp do punktu końcowego REST na odczyt, tworzenie, nadpisywanie lub usuwanie obiektów poza skonfigurowanym katalogiem. Problem dotyczy wersji od 1.40.0 do 1.75.0 i został naprawiony w wersji 1.75.0.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w backendach takich jak WebDAV, FTP, HTTP, Memory i SFTP, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację rclone do wersji 1.75.0 lub nowszej. Należy również ograniczyć dostęp do punktu końcowego REST oraz skonfigurować odpowiednie uprawnienia backendu.
Inne podatności w rclone
Zobacz wszystkie- CVE-2026-79783Niskie
rclone przed wersją 1.74.4 nie maskuje specjalnych bitów uprawnień podczas stosowania metadanych trybu pochodzących ze źródła w lokalnym backendzie. Atakujący mogą ustawić bity setuid/setgid na kontrolowanych plikach, co przy kopiowaniu z niezaufanego zdalnego źródła z zachowaniem metadanych może prowadzić do eskalacji uprawnień do roota, jeśli rclone działa jako root.
- CVE-2026-79780Średnie
W rclone przed wersją v1.75.0 nie są odpowiednio oczyszczane tokeny IBM IAM oraz klucze szyfrowania SSE-C podczas wywołań zwrotnych przekierowań S3, co pozwala na zachowanie poświadczeń przy zmianie schematu lub hosta. Atakujący obserwujący ruch sieciowy z zaufanego punktu końcowego może przechwycić wielokrotnego użytku tokeny IBM IAM podczas degradacji HTTPS do HTTP na tym samym hoście lub klucze SSE-C podczas przekierowań między domenami, aby uzyskać dostęp do chronionych obiektów S3.
- CVE-2026-79778Średnie
W rclone przed wersją v1.75.0 występuje podatność na atak DoS w obsłudze tworzenia WebDAV TUS, która wyłuskuje nil response przed sprawdzeniem błędów transportu. Złośliwy lub skompromitowany skonfigurowany punkt końcowy może resetować połączenia podczas przesyłania TUS, aby wywołać panic, który kończy nieodzyskane gorutyny i zatrzymuje niezwiązane prace w długo działających procesach.
- CVE-2026-49980Krytyczne
Rclone w wersjach od 1.46.0 do 1.74.2 zawiera podatność w trybie serwera (rcd --rc-serve), która pozwala nieuwierzytelnionym żądaniom GET i HEAD na wykonywanie dowolnych poleceń systemowych. Atakujący może wykorzystać specjalnie spreparowane URL-e zawierające konfigurację zdalnego magazynu, która podczas inicjalizacji wykonuje lokalne polecenia.
- CVE-2026-41179Krytyczne
W Rclone od wersji 1.48.0 do 1.73.4 punkt końcowy RC `operations/fsinfo` jest dostępny bez wymaganego uwierzytelnienia i akceptuje kontrolowane przez atakującego dane wejściowe `fs`. Nieuwierzytelniony atakujący może wykorzystać tę podatność do wykonania dowolnego polecenia lokalnego na serwerze poprzez backend WebDAV, który uruchamia `bearer_token_command` podczas inicjalizacji.
- CVE-2026-41176Krytyczne
W Rclone, punkcie końcowym RC `options/set`, brakuje wymaganego uwierzytelnienia (`AuthRequired: true`), co pozwala na modyfikację globalnej konfiguracji środowiska wykonawczego. Nieuwierzytelniony atakujący może ustawić `rc.NoAuth=true`, wyłączając w ten sposób bramę autoryzacji dla wielu metod RC, które normalnie wymagają uwierzytelnienia, co prowadzi do nieautoryzowanego dostępu do wrażliwych funkcji administracyjnych.
- CVE-2026-79782Niskie
rclone przed wersją 1.74.4 nie usuwa nagłówka X-Amz-Security-Token, gdy przekierowanie S3 zmienia schemat z HTTPS na HTTP na tym samym hoście. Atakujący mogą przechwycić niezaszyfrowany ruch HTTP, aby zdobyć tokeny sesji AWS STS wysyłane w nagłówkach żądań.
- CVE-2026-79781Średnie
W rclone serve s3 przed wersją 1.74.4 występuje podatność typu path traversal, umożliwiająca atakującym odczyt i nadpisanie plików na poziomie głównym poprzez użycie segmentów '..' w kluczach obiektów S3. Atakujący może wysyłać żądania z kluczami takimi jak '../root-secret.txt', aby wyjść poza przestrzeń nazw bucketa i uzyskać dostęp do plików w katalogu głównym serwera.
- CVE-2026-79779Średnie
W rclone przed wersją v1.75.0 nie są odrzucane degradacje transportu w obsłudze przekierowań, co pozwala na ponowne wysyłanie nagłówków Basic authorization i Cookie przez zwykły tekst HTTP po przekierowaniach HTTPS do HTTP na tym samym hoście. Atakujący znajdujący się na ścieżce sieciowej może przechwycić i wykorzystać poświadczenia do wykonania operacji WebDAV z uprawnieniami skompromitowanego konta.
- CVE-2026-79777Niskie
rclone przed wersją 1.75.0 dołącza pełne ślady stosu Go do odpowiedzi błędów API RC, gdy wystąpią paniki. Atakujący mogą wywołać paniki, aby ujawnić wewnętrzne ścieżki plików, wersje modułów, stany gorutyn i adresy pamięci.
Oryginalny opis (angielski, źródło NVD)
rclone is a command-line program to sync files and directories to and from different cloud storage providers. From 1.40.0 until 1.75.0, rclone serve restic does not correctly reject URL paths beginning with ../ in cmd/serve/restic/restic.go WithRemote, which accepts a leading parent path and passes it to GET, HEAD, POST, and DELETE handlers for configured backends including WebDAV, FTP, HTTP, Memory, and SFTP. An attacker who can access the REST endpoint may read, create, overwrite, or delete objects outside the path configured by the operator when the operator publishes a backend subdirectory and the backend credential can access parent or sibling objects. This issue is fixed in 1.75.0.