Rclone · Rclone · CVE-2024-52522
**Nome do software vulnerável e versões afetadas**
Versões do rclone anteriores à 1.68.2
**Descrição**
O problema está relacionado ao tratamento inseguro de links simbólicos com `--links` e `--metadata` no rclone durante a cópia para o disco local. Isso permite que usuários sem privilégios modifiquem indiretamente a propriedade e as permissões dos arquivos de destino dos links simbólicos quando um superusuário ou processo privilegiado realiza uma cópia. A vulnerabilidade pode permitir a escalada de privilégios e o acesso não autorizado a arquivos críticos do sistema, comprometendo a integridade, a confidencialidade e a disponibilidade do sistema.
Por exemplo, um usuário sem privilégios poderia criar um link simbólico para um arquivo confidencial dentro de seu diretório pessoal, aguardando que um administrador ou processo automatizado copiasse seus arquivos com o rclone usando as opções `--links` e `--metadata`. Ao copiar, o rclone aplicará incorretamente os comandos chown e chmod ao arquivo de destino do link simbólico, em vez de apenas ao próprio link simbólico, resultando em alterações de propriedade e permissão no arquivo confidencial.
**Recomendações**
Para versões anteriores à 1.68.2, atualize para a versão 1.68.2 para corrigir a vulnerabilidade. Como solução temporária, considere evitar o uso de `--links` e `--metadata` ao copiar arquivos para o backend local com o rclone, especialmente ao executar como superusuário. Restrinja o acesso a arquivos confidenciais do sistema para minimizar o risco de exploração.