Podatności rclone

rclone przed wersją 1.74.4 nie maskuje specjalnych bitów uprawnień podczas stosowania metadanych trybu pochodzących ze źródła w lokalnym backendzie. Atakujący mogą ustawić bity setuid/setgid na kontrolowanych plikach, co przy kopiowaniu z niezaufanego zdalnego źródła z zachowaniem metadanych może prowadzić do eskalacji uprawnień do roota, jeśli rclone działa jako root.

W rclone przed wersją v1.75.0 nie są odpowiednio oczyszczane tokeny IBM IAM oraz klucze szyfrowania SSE-C podczas wywołań zwrotnych przekierowań S3, co pozwala na zachowanie poświadczeń przy zmianie schematu lub hosta. Atakujący obserwujący ruch sieciowy z zaufanego punktu końcowego może przechwycić wielokrotnego użytku tokeny IBM IAM podczas degradacji HTTPS do HTTP na tym samym hoście lub klucze SSE-C podczas przekierowań między domenami, aby uzyskać dostęp do chronionych obiektów S3.

W rclone przed wersją v1.75.0 występuje podatność na atak DoS w obsłudze tworzenia WebDAV TUS, która wyłuskuje nil response przed sprawdzeniem błędów transportu. Złośliwy lub skompromitowany skonfigurowany punkt końcowy może resetować połączenia podczas przesyłania TUS, aby wywołać panic, który kończy nieodzyskane gorutyny i zatrzymuje niezwiązane prace w długo działających procesach.

Rclone w wersjach od 1.46.0 do 1.74.2 zawiera podatność w trybie serwera (rcd --rc-serve), która pozwala nieuwierzytelnionym żądaniom GET i HEAD na wykonywanie dowolnych poleceń systemowych. Atakujący może wykorzystać specjalnie spreparowane URL-e zawierające konfigurację zdalnego magazynu, która podczas inicjalizacji wykonuje lokalne polecenia.

W Rclone od wersji 1.48.0 do 1.73.4 punkt końcowy RC `operations/fsinfo` jest dostępny bez wymaganego uwierzytelnienia i akceptuje kontrolowane przez atakującego dane wejściowe `fs`. Nieuwierzytelniony atakujący może wykorzystać tę podatność do wykonania dowolnego polecenia lokalnego na serwerze poprzez backend WebDAV, który uruchamia `bearer_token_command` podczas inicjalizacji.

W Rclone, punkcie końcowym RC `options/set`, brakuje wymaganego uwierzytelnienia (`AuthRequired: true`), co pozwala na modyfikację globalnej konfiguracji środowiska wykonawczego. Nieuwierzytelniony atakujący może ustawić `rc.NoAuth=true`, wyłączając w ten sposób bramę autoryzacji dla wielu metod RC, które normalnie wymagają uwierzytelnienia, co prowadzi do nieautoryzowanego dostępu do wrażliwych funkcji administracyjnych.

rclone przed wersją 1.74.4 nie usuwa nagłówka X-Amz-Security-Token, gdy przekierowanie S3 zmienia schemat z HTTPS na HTTP na tym samym hoście. Atakujący mogą przechwycić niezaszyfrowany ruch HTTP, aby zdobyć tokeny sesji AWS STS wysyłane w nagłówkach żądań.

W rclone serve s3 przed wersją 1.74.4 występuje podatność typu path traversal, umożliwiająca atakującym odczyt i nadpisanie plików na poziomie głównym poprzez użycie segmentów '..' w kluczach obiektów S3. Atakujący może wysyłać żądania z kluczami takimi jak '../root-secret.txt', aby wyjść poza przestrzeń nazw bucketa i uzyskać dostęp do plików w katalogu głównym serwera.

W rclone przed wersją v1.75.0 nie są odrzucane degradacje transportu w obsłudze przekierowań, co pozwala na ponowne wysyłanie nagłówków Basic authorization i Cookie przez zwykły tekst HTTP po przekierowaniach HTTPS do HTTP na tym samym hoście. Atakujący znajdujący się na ścieżce sieciowej może przechwycić i wykorzystać poświadczenia do wykonania operacji WebDAV z uprawnieniami skompromitowanego konta.

rclone przed wersją 1.75.0 dołącza pełne ślady stosu Go do odpowiedzi błędów API RC, gdy wystąpią paniki. Atakujący mogą wywołać paniki, aby ujawnić wewnętrzne ścieżki plików, wersje modułów, stany gorutyn i adresy pamięci.

rclone przed wersją 1.75.0 montuje handler debugowania pprof jako własną trasę routera, omijając regułę uwierzytelniania fail-closed w głównym handlerze. Atakujący mogą uzyskać dostęp do punktu końcowego /debug/pprof/cmdline bez uwierzytelnienia, aby pobrać pełne argumenty procesu, w tym poświadczenia backendu.

rclone w wersjach od v1.72.0 do v1.74.4 (poprawione w v1.75.0) zawiera wiele podatności na odmowę usługi w parserze SquashFS backendu archiwum, który opiera się na zależności github.com/diskfs/go-diskfs. Parser nie sprawdza poprawności wartości superbloku i metadanych kontrolowanych przez atakującego przed ich użyciem. Atakujący, który może umieścić lub zmodyfikować obraz SquashFS w magazynie wystawionym przez zdalny :archive:, może stworzyć złośliwy obraz wywołujący panikę z powodu dzielenia przez zero (zerowy rozmiar bloku), panikę z powodu odczytu poza zakresem (przesunięcie metadanych inode poza zakres) lub pętlę CPU bez postępu (obcięty strumień metadanych). Warianty 1 i 2 kończą proces rclone i przez 'rclone serve sftp' mogą zawiesić cały serwer SFTP; wariant 3 powoduje ciągłe zużycie CPU. Parsowanie jest leniwe, więc ofiara lub zdalny klient musi odnieść się do złośliwego obiektu archiwum lub zejść do niego, aby go wyzwolić.

rclone przed wersją 1.75.0 zawiera podatność w lokalnym backendzie, która pozwala atakującemu kontrolowanemu obiektowi źródłowemu na tworzenie lub nadpisywanie plików poza skonfigurowanym katalogiem docelowym. Dzieje się tak, gdy lokalny cel używa określonych kodowań nazw plików, które mogą zdekodować składnik '..' do rzeczywistego katalogu nadrzędnego.

rclone, program do synchronizacji plików z chmurą, zawiera podatność polegającą na nieprawidłowym interpolowaniu ścieżek SFTP do poleceń PowerShell, co pozwala atakującemu kontrolującemu nazwę pliku na wykonanie dowolnych poleceń PowerShell w kontekście konta SSH ofiary. Problem dotyczy wersji przed 1.75.0 i został naprawiony w wersji 1.75.0.

rclone przed wersją 1.75.0 zawiera podatność w backendzie FTP, która pozwala na wstrzyknięcie niezależnego, uwierzytelnionego polecenia FTP, gdy ofiara kopiuje lub synchronizuje pliki do bardziej uprzywilejowanego celu FTP. Dzieje się tak, gdy nazwa pliku zawiera znaki CR/LF, które nie są odrzucane przez bibliotekę FTP.

rclone przed wersją 1.75.0 zawiera podatność w pomocniczym kodzie HTTP CONNECT, która pozwala złośliwemu lub skompromitowanemu proxy na spowodowanie nadmiernego zużycia pamięci przez wysyłanie zbyt dużych nagłówków, co może doprowadzić do awarii procesu rclone. Podatność dotyczy połączeń proxy FTP i SFTP.

rclone serve restic nieprawidłowo odrzuca ścieżki URL zaczynające się od ../, co pozwala atakującemu mającemu dostęp do punktu końcowego REST na odczyt, tworzenie, nadpisywanie lub usuwanie obiektów poza skonfigurowanym katalogiem. Problem dotyczy wersji od 1.40.0 do 1.75.0 i został naprawiony w wersji 1.75.0.

W programie Rclone przed wersją 1.74.4 wykryto podatność w komponencie `rclone serve restic --private-repos`. Mechanizm autoryzacji używa przefiltrowanej ścieżki użytkownika, podczas gdy klucz obiektu backendu jest budowany z nieoczyszczonej ścieżki URL, co pozwala uwierzytelnionemu użytkownikowi na użycie sekwencji `..` w żądaniu (np. `//..//config`) i odczyt, nadpisanie lub usunięcie prywatnego repozytorium innego użytkownika na backendach czyszczących komponenty ścieżki.

Rclone przed wersją 1.74.4 zawiera podatność w funkcji archive extract, która pozwala na zapisanie rozpakowanych plików poza wybranym przez użytkownika katalogiem docelowym. Dzieje się tak podczas rozpakowywania spreparowanego archiwum zawierającego ścieżki nadrzędne (np. ../), co umożliwia tworzenie lub nadpisywanie obiektów w tym samym zasobniku lub zakresie ścieżki.

W Rclone przed wersją 1.74.4, przy użyciu flagi -l/--links, symlinki są serializowane jako obiekty tekstowe .rclonelink i odtwarzane na lokalnym miejscu docelowym bez walidacji celu. Pozwala to atakującemu na zdalne umieszczenie uciekającego symlinka i spowodowanie zapisu kolejnego obiektu poza docelowym katalogiem z wybraną przez atakującego zawartością.