CVE-2026-79778

rclone przed wersją 1.74.4 nie maskuje specjalnych bitów uprawnień podczas stosowania metadanych trybu pochodzących ze źródła w lokalnym backendzie. Atakujący mogą ustawić bity setuid/setgid na kontrolowanych plikach, co przy kopiowaniu z niezaufanego zdalnego źródła z zachowaniem metadanych może prowadzić do eskalacji uprawnień do roota, jeśli rclone działa jako root.

W rclone przed wersją v1.75.0 nie są odpowiednio oczyszczane tokeny IBM IAM oraz klucze szyfrowania SSE-C podczas wywołań zwrotnych przekierowań S3, co pozwala na zachowanie poświadczeń przy zmianie schematu lub hosta. Atakujący obserwujący ruch sieciowy z zaufanego punktu końcowego może przechwycić wielokrotnego użytku tokeny IBM IAM podczas degradacji HTTPS do HTTP na tym samym hoście lub klucze SSE-C podczas przekierowań między domenami, aby uzyskać dostęp do chronionych obiektów S3.

Rclone w wersjach od 1.46.0 do 1.74.2 zawiera podatność w trybie serwera (rcd --rc-serve), która pozwala nieuwierzytelnionym żądaniom GET i HEAD na wykonywanie dowolnych poleceń systemowych. Atakujący może wykorzystać specjalnie spreparowane URL-e zawierające konfigurację zdalnego magazynu, która podczas inicjalizacji wykonuje lokalne polecenia.

W Rclone od wersji 1.48.0 do 1.73.4 punkt końcowy RC `operations/fsinfo` jest dostępny bez wymaganego uwierzytelnienia i akceptuje kontrolowane przez atakującego dane wejściowe `fs`. Nieuwierzytelniony atakujący może wykorzystać tę podatność do wykonania dowolnego polecenia lokalnego na serwerze poprzez backend WebDAV, który uruchamia `bearer_token_command` podczas inicjalizacji.

W Rclone, punkcie końcowym RC `options/set`, brakuje wymaganego uwierzytelnienia (`AuthRequired: true`), co pozwala na modyfikację globalnej konfiguracji środowiska wykonawczego. Nieuwierzytelniony atakujący może ustawić `rc.NoAuth=true`, wyłączając w ten sposób bramę autoryzacji dla wielu metod RC, które normalnie wymagają uwierzytelnienia, co prowadzi do nieautoryzowanego dostępu do wrażliwych funkcji administracyjnych.

rclone przed wersją 1.74.4 nie usuwa nagłówka X-Amz-Security-Token, gdy przekierowanie S3 zmienia schemat z HTTPS na HTTP na tym samym hoście. Atakujący mogą przechwycić niezaszyfrowany ruch HTTP, aby zdobyć tokeny sesji AWS STS wysyłane w nagłówkach żądań.

W rclone serve s3 przed wersją 1.74.4 występuje podatność typu path traversal, umożliwiająca atakującym odczyt i nadpisanie plików na poziomie głównym poprzez użycie segmentów '..' w kluczach obiektów S3. Atakujący może wysyłać żądania z kluczami takimi jak '../root-secret.txt', aby wyjść poza przestrzeń nazw bucketa i uzyskać dostęp do plików w katalogu głównym serwera.

W rclone przed wersją v1.75.0 nie są odrzucane degradacje transportu w obsłudze przekierowań, co pozwala na ponowne wysyłanie nagłówków Basic authorization i Cookie przez zwykły tekst HTTP po przekierowaniach HTTPS do HTTP na tym samym hoście. Atakujący znajdujący się na ścieżce sieciowej może przechwycić i wykorzystać poświadczenia do wykonania operacji WebDAV z uprawnieniami skompromitowanego konta.

rclone przed wersją 1.75.0 dołącza pełne ślady stosu Go do odpowiedzi błędów API RC, gdy wystąpią paniki. Atakujący mogą wywołać paniki, aby ujawnić wewnętrzne ścieżki plików, wersje modułów, stany gorutyn i adresy pamięci.

rclone przed wersją 1.75.0 montuje handler debugowania pprof jako własną trasę routera, omijając regułę uwierzytelniania fail-closed w głównym handlerze. Atakujący mogą uzyskać dostęp do punktu końcowego /debug/pprof/cmdline bez uwierzytelnienia, aby pobrać pełne argumenty procesu, w tym poświadczenia backendu.