Podatności rclone

rclone to program wiersza poleceń do synchronizacji plików i katalogów z różnymi dostawcami chmury. Od wersji 1.70.0 do 1.75.1 interfejs serve/start RC akceptuje ustawienia proxyOpt.AuthProxy dla poszczególnych serwerów, ale konstruktory FTP i S3 w cmd/serve/ftp/ftp.go oraz cmd/serve/s3/server.go nieprawidłowo sprawdzają globalną wartość proxy.Opt.AuthProxy. Gdy wartość globalna jest pusta, lokalny dla żądania proxy uwierzytelniające jest ignorowane: FTP przechodzi do stałego systemu plików z użytkownikiem anonymous i dowolnym hasłem, a S3 z AuthKey udostępnia stały system plików RC zamiast backendu wybranego przez proxy. Dedykowane serwery wiersza poleceń konfigurujące opcję globalną nie są dotknięte. Problem naprawiono w wersji 1.75.1.

rclone to program wiersza poleceń do synchronizacji plików i katalogów z różnymi dostawcami chmury. Przed wersją 1.75.1 rclone serve s3 skonfigurowany z --auth-proxy, ale bez --auth-key, pozwala authPairMiddleware zarejestrować dowolny wybrany przez klienta accessKeyID z pustym ws.s3Secret. gofakes3 następnie weryfikuje sygnaturę SigV4 żądania względem tego samego pustego sekretu, podczas gdy Server.auth przekazuje identyfikator klucza dostępu jako zarówno użytkownika, jak i wartość uwierzytelniającą do proxy bez niezależnego sekretu dla tożsamości. Nieuwierzytelniony atakujący sieciowy może zatem wybrać dowolny klucz dostępu, podpisać pustym sekretem i dotrzeć do dowolnego backendu, który skrypt auth-proxy rozwiąże dla tej tożsamości. Problem naprawiono w wersji 1.75.1.

Rclone w wersjach od 1.46.0 do 1.74.2 zawiera podatność w trybie serwera (rcd --rc-serve), która pozwala nieuwierzytelnionym żądaniom GET i HEAD na wykonywanie dowolnych poleceń systemowych. Atakujący może wykorzystać specjalnie spreparowane URL-e zawierające konfigurację zdalnego magazynu, która podczas inicjalizacji wykonuje lokalne polecenia.

W Rclone od wersji 1.48.0 do 1.73.4 punkt końcowy RC `operations/fsinfo` jest dostępny bez wymaganego uwierzytelnienia i akceptuje kontrolowane przez atakującego dane wejściowe `fs`. Nieuwierzytelniony atakujący może wykorzystać tę podatność do wykonania dowolnego polecenia lokalnego na serwerze poprzez backend WebDAV, który uruchamia `bearer_token_command` podczas inicjalizacji.

W Rclone, punkcie końcowym RC `options/set`, brakuje wymaganego uwierzytelnienia (`AuthRequired: true`), co pozwala na modyfikację globalnej konfiguracji środowiska wykonawczego. Nieuwierzytelniony atakujący może ustawić `rc.NoAuth=true`, wyłączając w ten sposób bramę autoryzacji dla wielu metod RC, które normalnie wymagają uwierzytelnienia, co prowadzi do nieautoryzowanego dostępu do wrażliwych funkcji administracyjnych.

rclone w wersjach od 1.56.0 do 1.75.0 zawiera podatność path traversal w wtyczce wolumenów `rclone serve docker`. Funkcja newVolume() w cmd/serve/docker/volume.go oblicza punkt montowania jako filepath.Join(drv.root, name) na podstawie pola `name` z żądania Docker VolumeDriver.Create, nie sprawdzając, czy wynik pozostaje w drv.root (domyślnie /var/lib/docker-volumes/rclone), a następnie checkMountpoint() tworzy ten katalog przez file.MkdirAll przed montowaniem. Nazwa wolumenu zawierająca odpowiednio dużo komponentów `..` (np. "../../../../../../etc") pozwala wyjść poza katalog bazowy, umożliwiając osobie mogącej wysłać żądanie VolumeDriver.Create do gniazda wtyczki utworzenie katalogu i zamontowanie zdalnego systemu plików w dowolnej ścieżce hosta. Volume.restoreState() miało tę samą lukę przy wczytywaniu zapisanego stanu wolumenów. Naprawiono w 1.75.1.

rclone w wersjach przed 1.75.1 nie ogranicza nazw z odpowiedzi serwera i zewnętrznych listingów do listowanego katalogu, co pozwala na sekwencje path traversal w nazwach obiektów. Atakujący może tworzyć specjalne nazwy zawierające ukośniki i odwołania do katalogu nadrzędnego, aby potencjalnie zapisywać poza katalogiem docelowym, choć obecne zabezpieczenia w backendzie lokalnym blokują faktyczne wyjście poza pliki.

W rclone przed wersją 1.75.1 rdzeń nie odrzuca segmentów katalogu nadrzędnego w wartościach Object.Remote() przed przekazaniem ich do backendów docelowych przez fs/list, fs/walk, fs/sync i fs/operations. Magazyn obiektów z płaską przestrzenią kluczy może zawierać surowy segment "..", a dotknięte backendy używają path.Join(root, remote) przed neutralizacją tego segmentu, co pozwala kopiowaniu lub wysyłaniu opuścić skonfigurowany katalog główny. Luka została naprawiona w wersji 1.75.1.

rclone w wersjach od 1.75.0 do 1.75.1 w ścieżce strumieniowego multipart serwera S3 przekazuje kontrolowany przez atakującego contentLength do multipart.NewRW().Reserve przed odczytaniem treści żądania. Klient sieciowy może wielokrotnie rezerwować pamięć bez wysyłania zadeklarowanego ciała, wyczerpując pamięć procesu lub hosta albo trwale blokując obsługę żądań. Problem naprawiono w wersji 1.75.1.

W rclone od wersji 1.64.0 do 1.75.1 sterownik FTP auth-proxy przechowuje jedno zaciemnione hasło na nazwę użytkownika w globalnej mapie userPass, zamiast wiązać poświadczenia z sesją. Jeśli dwie zaakceptowane poświadczenia mają tę samą nazwę użytkownika, ale różne backendy proxy, późniejsze logowanie nadpisuje hasło i pierwsza sesja jest ponownie autoryzowana z uprawnieniami drugiego backendu, co pozwala na nieautoryzowany dostęp do operacji na plikach.

W rclone przed wersją 1.75.1, gdy backend lokalny działa z opcją --links, źródłowy obiekt .rclonelink może utworzyć dowiązanie symboliczne w miejscu docelowym, a następnie metadane katalogu są stosowane przez tę ścieżkę. Funkcje MkdirMetadata, writeMetadataToFile i setTimes mogą ominąć ograniczenia os.Root i podążyć za dowiązaniem, co pozwala atakującemu kontrolującemu źródło na zastosowanie wybranego właściciela, uprawnień, czasów modyfikacji lub utworzenia do pliku lub katalogu poza miejscem docelowym.

rclone to program wiersza poleceń do synchronizacji plików i katalogów z różnymi dostawcami chmury. W wersjach przed 1.75.1 backend/local z opcją --links lub links=true ujawnia cele dowiązań symbolicznych jako obiekty .rclonelink, a fs.RangeOption.Decode może przekazać niekontrolowany dodatni początek zakresu Range przez Object.Open i openTranslatedLink. Funkcja dzieli łańcuch celu jako linkdst[offset:], więc początek zakresu większy niż długość celu powoduje deterministyczną panikę przekroczenia granic wycinka, gdy lib/http/serve udostępnia obiekt przez HTTP lub WebDAV. Go net/http zwykle odzyskuje panikę na połączenie, powodując odmowę usługi na poziomie żądania, a nie zakończenie całego procesu. Problem naprawiono w wersji 1.75.1.

rclone to program wiersza poleceń do synchronizacji plików i katalogów z różnymi dostawcami chmury. Od wersji 1.72.0 do 1.75.1 metoda backendu archiwum ZIP (*Fs).readZip w backend/archive/zip/zip.go przyjmuje wartości archive/zip.File.Name z niezaufanego katalogu centralnego i ujawnia oczyszczone nazwy wpisów bez zapewnienia, że pozostają w przestrzeni nazw archiwum. Wpisy takie jak ../../etc/cron.d/evil mogą przetrwać path.Clean i stać się wartościami Object.Remote(), których fs/sync i fs/operations używają jako ścieżek względnych miejsca docelowego, pozwalając rclone copy lub sync zapisywać poza wybranym miejscem docelowym w backendach, które niezależnie nie ograniczają ścieżki. Sprawdzenie niepustego katalogu głównego używało również strings.HasPrefix bez granicy ścieżki, więc katalog główny foo mógł niepoprawnie obejmować wpisy sąsiadujące foobar. Problem naprawiono w wersji 1.75.1.

W rclone od wersji 1.49.0 do 1.75.1 backend HTTP dołącza nagłówki skonfigurowane przez --http-headers lub headers= do żądań, a klient fshttp.NewClient podąża za przekierowaniami bez polityki CheckRedirect. Skonfigurowany remote, który przekierowuje do innego hosta, może spowodować ponowne wysłanie niestandardowych sekretów, takich jak X-Api-Key, do niezaufanego celu, a przekierowanie HTTPS-to-HTTP w tym samym hoście może ujawnić nagłówki Authorization lub Cookie w postaci jawnej. Operacje listowania, stat, pobierania, montowania i serwowania mogą wywołać wyciek podczas normalnego użytkowania. Podatność naprawiono w wersji 1.75.1.

rclone przed wersją 1.74.4 nie maskuje specjalnych bitów uprawnień podczas stosowania metadanych trybu pochodzących ze źródła w lokalnym backendzie. Atakujący mogą ustawić bity setuid/setgid na kontrolowanych plikach, co przy kopiowaniu z niezaufanego zdalnego źródła z zachowaniem metadanych może prowadzić do eskalacji uprawnień do roota, jeśli rclone działa jako root.

rclone przed wersją 1.74.4 nie usuwa nagłówka X-Amz-Security-Token, gdy przekierowanie S3 zmienia schemat z HTTPS na HTTP na tym samym hoście. Atakujący mogą przechwycić niezaszyfrowany ruch HTTP, aby zdobyć tokeny sesji AWS STS wysyłane w nagłówkach żądań.

W rclone serve s3 przed wersją 1.74.4 występuje podatność typu path traversal, umożliwiająca atakującym odczyt i nadpisanie plików na poziomie głównym poprzez użycie segmentów '..' w kluczach obiektów S3. Atakujący może wysyłać żądania z kluczami takimi jak '../root-secret.txt', aby wyjść poza przestrzeń nazw bucketa i uzyskać dostęp do plików w katalogu głównym serwera.

W rclone przed wersją v1.75.0 nie są odpowiednio oczyszczane tokeny IBM IAM oraz klucze szyfrowania SSE-C podczas wywołań zwrotnych przekierowań S3, co pozwala na zachowanie poświadczeń przy zmianie schematu lub hosta. Atakujący obserwujący ruch sieciowy z zaufanego punktu końcowego może przechwycić wielokrotnego użytku tokeny IBM IAM podczas degradacji HTTPS do HTTP na tym samym hoście lub klucze SSE-C podczas przekierowań między domenami, aby uzyskać dostęp do chronionych obiektów S3.

W rclone przed wersją v1.75.0 nie są odrzucane degradacje transportu w obsłudze przekierowań, co pozwala na ponowne wysyłanie nagłówków Basic authorization i Cookie przez zwykły tekst HTTP po przekierowaniach HTTPS do HTTP na tym samym hoście. Atakujący znajdujący się na ścieżce sieciowej może przechwycić i wykorzystać poświadczenia do wykonania operacji WebDAV z uprawnieniami skompromitowanego konta.

W rclone przed wersją v1.75.0 występuje podatność na atak DoS w obsłudze tworzenia WebDAV TUS, która wyłuskuje nil response przed sprawdzeniem błędów transportu. Złośliwy lub skompromitowany skonfigurowany punkt końcowy może resetować połączenia podczas przesyłania TUS, aby wywołać panic, który kończy nieodzyskane gorutyny i zatrzymuje niezwiązane prace w długo działających procesach.

rclone przed wersją 1.75.0 dołącza pełne ślady stosu Go do odpowiedzi błędów API RC, gdy wystąpią paniki. Atakujący mogą wywołać paniki, aby ujawnić wewnętrzne ścieżki plików, wersje modułów, stany gorutyn i adresy pamięci.

rclone przed wersją 1.75.0 montuje handler debugowania pprof jako własną trasę routera, omijając regułę uwierzytelniania fail-closed w głównym handlerze. Atakujący mogą uzyskać dostęp do punktu końcowego /debug/pprof/cmdline bez uwierzytelnienia, aby pobrać pełne argumenty procesu, w tym poświadczenia backendu.

rclone w wersjach od v1.72.0 do v1.74.4 (poprawione w v1.75.0) zawiera wiele podatności na odmowę usługi w parserze SquashFS backendu archiwum, który opiera się na zależności github.com/diskfs/go-diskfs. Parser nie sprawdza poprawności wartości superbloku i metadanych kontrolowanych przez atakującego przed ich użyciem. Atakujący, który może umieścić lub zmodyfikować obraz SquashFS w magazynie wystawionym przez zdalny :archive:, może stworzyć złośliwy obraz wywołujący panikę z powodu dzielenia przez zero (zerowy rozmiar bloku), panikę z powodu odczytu poza zakresem (przesunięcie metadanych inode poza zakres) lub pętlę CPU bez postępu (obcięty strumień metadanych). Warianty 1 i 2 kończą proces rclone i przez 'rclone serve sftp' mogą zawiesić cały serwer SFTP; wariant 3 powoduje ciągłe zużycie CPU. Parsowanie jest leniwe, więc ofiara lub zdalny klient musi odnieść się do złośliwego obiektu archiwum lub zejść do niego, aby go wyzwolić.

rclone przed wersją 1.75.0 zawiera podatność w lokalnym backendzie, która pozwala atakującemu kontrolowanemu obiektowi źródłowemu na tworzenie lub nadpisywanie plików poza skonfigurowanym katalogiem docelowym. Dzieje się tak, gdy lokalny cel używa określonych kodowań nazw plików, które mogą zdekodować składnik '..' do rzeczywistego katalogu nadrzędnego.

rclone, program do synchronizacji plików z chmurą, zawiera podatność polegającą na nieprawidłowym interpolowaniu ścieżek SFTP do poleceń PowerShell, co pozwala atakującemu kontrolującemu nazwę pliku na wykonanie dowolnych poleceń PowerShell w kontekście konta SSH ofiary. Problem dotyczy wersji przed 1.75.0 i został naprawiony w wersji 1.75.0.

rclone przed wersją 1.75.0 zawiera podatność w backendzie FTP, która pozwala na wstrzyknięcie niezależnego, uwierzytelnionego polecenia FTP, gdy ofiara kopiuje lub synchronizuje pliki do bardziej uprzywilejowanego celu FTP. Dzieje się tak, gdy nazwa pliku zawiera znaki CR/LF, które nie są odrzucane przez bibliotekę FTP.

rclone przed wersją 1.75.0 zawiera podatność w pomocniczym kodzie HTTP CONNECT, która pozwala złośliwemu lub skompromitowanemu proxy na spowodowanie nadmiernego zużycia pamięci przez wysyłanie zbyt dużych nagłówków, co może doprowadzić do awarii procesu rclone. Podatność dotyczy połączeń proxy FTP i SFTP.

rclone serve restic nieprawidłowo odrzuca ścieżki URL zaczynające się od ../, co pozwala atakującemu mającemu dostęp do punktu końcowego REST na odczyt, tworzenie, nadpisywanie lub usuwanie obiektów poza skonfigurowanym katalogiem. Problem dotyczy wersji od 1.40.0 do 1.75.0 i został naprawiony w wersji 1.75.0.

W programie Rclone przed wersją 1.74.4 wykryto podatność w komponencie `rclone serve restic --private-repos`. Mechanizm autoryzacji używa przefiltrowanej ścieżki użytkownika, podczas gdy klucz obiektu backendu jest budowany z nieoczyszczonej ścieżki URL, co pozwala uwierzytelnionemu użytkownikowi na użycie sekwencji `..` w żądaniu (np. `//..//config`) i odczyt, nadpisanie lub usunięcie prywatnego repozytorium innego użytkownika na backendach czyszczących komponenty ścieżki.

Rclone przed wersją 1.74.4 zawiera podatność w funkcji archive extract, która pozwala na zapisanie rozpakowanych plików poza wybranym przez użytkownika katalogiem docelowym. Dzieje się tak podczas rozpakowywania spreparowanego archiwum zawierającego ścieżki nadrzędne (np. ../), co umożliwia tworzenie lub nadpisywanie obiektów w tym samym zasobniku lub zakresie ścieżki.

W Rclone przed wersją 1.74.4, przy użyciu flagi -l/--links, symlinki są serializowane jako obiekty tekstowe .rclonelink i odtwarzane na lokalnym miejscu docelowym bez walidacji celu. Pozwala to atakującemu na zdalne umieszczenie uciekającego symlinka i spowodowanie zapisu kolejnego obiektu poza docelowym katalogiem z wybraną przez atakującego zawartością.