PT-2026-33833 · Rclone+2 · Rclone+2

0Wnerdied · Publicado 2026-04-20 · Atualizado 2026-06-17 · CVE-2026-41179

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Rclone versões 1.48.0 até 1.73.4

Description O endpoint RC "operations/fsinfo" está exposto sem autenticação e aceita a entrada fs controlada por um invasor. Como a função rc.GetFs() suporta definições de backend inline, um invasor não autenticado pode instanciar um backend sob demanda. Especificamente, para o backend WebDAV, o bearer token command é executado durante a inicialização, permitindo a execução local de comandos não autenticados em uma única requisição em implantações de RC acessíveis que não possuam autenticação HTTP global.

Recommendations Atualize para a versão 1.73.5. Como medida paliativa temporária, restrinja o acesso ao endpoint "operations/fsinfo" ou habilite a autenticação HTTP global do RC usando --rc-user, --rc-pass ou --rc-htpasswd para evitar o acesso não autenticado.

Exploit

Correção

Missing Authentication

OS Command Injection

Enumeração de Fraquezas

CWE-306

CWE-78

Identificadores relacionados

BIT-RCLONE-2026-41179

CVE-2026-41179

GHSA-JFWF-28XR-XW6Q

OPENSUSE-SU-2026:10584-1

USN-8299-1

Produtos afetados

Linuxmint

Rclone

Ubuntu

Referências · 37

• 🔥 https://github.com/rclone/rclone/security/advisories/GHSA-jfwf-28xr-xw6q · Exploit
• https://github.com/rclone/rclone · Nota
• https://github.com/rclone/rclone/blob/bf55d5e6d37fd86164a87782191f9e1ffcaafa82/fs/operations/rc.go · Nota
• https://github.com/rclone/rclone/blob/bf55d5e6d37fd86164a87782191f9e1ffcaafa82/backend/webdav/webdav.go · Nota
• https://github.com/rclone/rclone/blob/bf55d5e6d37fd86164a87782191f9e1ffcaafa82/fs/rc/cache.go · Nota
• https://github.com/rclone/rclone/commit/2a9e952b38e03a96bf40c9eb6e8e22199865ee3b · Nota
• https://github.com/rclone/rclone/releases/tag/v1.73.5 · Nota
• https://osv.dev/vulnerability/USN-8299-1 · Aviso do Fabricante
• https://t.me/CSIRT_italia/3432 · Publicação no Telegram
• https://osv.dev/vulnerability/ROOT-APP-GOBINARY-CVE-2026-41179 · Aviso do Fabricante
• https://twitter.com/ET_Labs/status/2054306093061611896 · Publicação no Twitter
• https://security-tracker.debian.org/tracker/CVE-2026-41179 · Aviso do Fabricante
• https://rclone.org/changelog/#v1-73-5-2026-04-19 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41179 · Nota de Segurança
• https://twitter.com/pdnuclei_bot/status/2047223986715840777 · Publicação no Twitter