CVE-2026-88013

rclone to program wiersza poleceń do synchronizacji plików i katalogów z różnymi dostawcami chmury. Od wersji 1.70.0 do 1.75.1 interfejs serve/start RC akceptuje ustawienia proxyOpt.AuthProxy dla poszczególnych serwerów, ale konstruktory FTP i S3 w cmd/serve/ftp/ftp.go oraz cmd/serve/s3/server.go nieprawidłowo sprawdzają globalną wartość proxy.Opt.AuthProxy. Gdy wartość globalna jest pusta, lokalny dla żądania proxy uwierzytelniające jest ignorowane: FTP przechodzi do stałego systemu plików z użytkownikiem anonymous i dowolnym hasłem, a S3 z AuthKey udostępnia stały system plików RC zamiast backendu wybranego przez proxy. Dedykowane serwery wiersza poleceń konfigurujące opcję globalną nie są dotknięte. Problem naprawiono w wersji 1.75.1.

rclone to program wiersza poleceń do synchronizacji plików i katalogów z różnymi dostawcami chmury. Przed wersją 1.75.1 rclone serve s3 skonfigurowany z --auth-proxy, ale bez --auth-key, pozwala authPairMiddleware zarejestrować dowolny wybrany przez klienta accessKeyID z pustym ws.s3Secret. gofakes3 następnie weryfikuje sygnaturę SigV4 żądania względem tego samego pustego sekretu, podczas gdy Server.auth przekazuje identyfikator klucza dostępu jako zarówno użytkownika, jak i wartość uwierzytelniającą do proxy bez niezależnego sekretu dla tożsamości. Nieuwierzytelniony atakujący sieciowy może zatem wybrać dowolny klucz dostępu, podpisać pustym sekretem i dotrzeć do dowolnego backendu, który skrypt auth-proxy rozwiąże dla tej tożsamości. Problem naprawiono w wersji 1.75.1.

Rclone w wersjach od 1.46.0 do 1.74.2 zawiera podatność w trybie serwera (rcd --rc-serve), która pozwala nieuwierzytelnionym żądaniom GET i HEAD na wykonywanie dowolnych poleceń systemowych. Atakujący może wykorzystać specjalnie spreparowane URL-e zawierające konfigurację zdalnego magazynu, która podczas inicjalizacji wykonuje lokalne polecenia.

W Rclone od wersji 1.48.0 do 1.73.4 punkt końcowy RC `operations/fsinfo` jest dostępny bez wymaganego uwierzytelnienia i akceptuje kontrolowane przez atakującego dane wejściowe `fs`. Nieuwierzytelniony atakujący może wykorzystać tę podatność do wykonania dowolnego polecenia lokalnego na serwerze poprzez backend WebDAV, który uruchamia `bearer_token_command` podczas inicjalizacji.

W Rclone, punkcie końcowym RC `options/set`, brakuje wymaganego uwierzytelnienia (`AuthRequired: true`), co pozwala na modyfikację globalnej konfiguracji środowiska wykonawczego. Nieuwierzytelniony atakujący może ustawić `rc.NoAuth=true`, wyłączając w ten sposób bramę autoryzacji dla wielu metod RC, które normalnie wymagają uwierzytelnienia, co prowadzi do nieautoryzowanego dostępu do wrażliwych funkcji administracyjnych.

Rclone przed wersją 1.75.2 zawiera podatność polegającą na ujawnieniu poświadczeń w backendzie b2, która ujawnia aktywny token autoryzacyjny konta i klucze SSE-C przy przekierowaniach HTTP z hostów --b2-download-url. Atakujący mogą zaobserwować przekierowanie z HTTPS na HTTP w obrębie tego samego hosta, aby przechwycić token B2 w postaci jawnej, lub otrzymać przekierowania między hostami ujawniające klucze szyfrowania klienta SSE-C.

Rclone przed wersją 1.75.2 zawiera podatność na path traversal w funkcji translateLink lokalnego backendu, która usuwa sufiks .rclonelink ze ścieżki po sprawdzeniu zawierania, więc nazwa może wskazywać poza katalog docelowy. Atakujący mogą umieścić katalog o nazwie ...rclonelink w drzewie źródłowym synchronizowanym z --links i --metadata, aby zmienić właściciela, znaczniki czasu i xattrs katalogu nadrzędnego miejsca docelowego.

Rclone od wersji 1.52.0 przed 1.75.2 zawiera podatność na cross-site request forgery w lokalnym wywołaniu zwrotnym OAuth backendu pCloud, które wyłącza sprawdzanie stanu i ufa parametrowi hostname. Złośliwe strony internetowe mogą wysłać żądanie bezstanowe do portu 53682 podczas autoryzacji, wprowadzając tokeny i hosty API atakującego, aby późniejsze transfery trafiały do atakującego.

Rclone od wersji 1.64.0 przed 1.75.2 zawiera podatność na obejście uwierzytelniania w serve webdav, która pozwala nieuwierzytelnionym atakującym pominąć uwierzytelnianie poprzez wysyłanie żądań OPTIONS. Atakujący mogą sondować dowolne ścieżki i porównywać wartości nagłówka Allow, aby ustalić, czy pliki lub kolekcje istnieją, co umożliwia enumerację przestrzeni nazw.

rclone od wersji 1.37 przed 1.74.2 zawiera podatność na server-side request forgery, która pozwala nieuwierzytelnionym atakującym przekierowywać żądania backendu http i netstorage, podając podwójny ukośnik w katalogu głównym istniejącego nazwanego remote poprzez --rc-serve. Atakujący mogą wysyłać żądania HEAD/GET do wybranych przez siebie hostów, aby odczytać odpowiedzi, przechwycić skonfigurowane niestandardowe nagłówki lub uzyskać ważne sygnatury żądań NetStorage.