CVE-2026-88016 in Rclone
Zusammenfassung
von VulDB • 10.09.2026
rclone ist ein Befehlszeilenprogramm zum Synchronisieren von Dateien und Verzeichnissen mit verschiedenen Cloud-Speicheranbietern. Vor Version 1.75.1 kann bei der Ausführung von backend/local mit dem Flag --links ein .rclonelink-Quellobjekt einen Symlink im Zielverzeichnis erstellen, woraufhin die Metadaten des Verzeichnisses über diesen Pfad angewendet werden. MkdirMetadata, writeMetadataToFile und setTimes funktionieren auch dann, wenn Directory.translatedLink=false ist; dadurch können os.Chown, os.Chmod, os.Chtimes sowie die Behandlung der Geburtszeit (birth-time) die os.Root-Einschränkung umgehen und dem Symlink folgen. Ein Angreifer, der den Quellinhalt kontrolliert, kann daher bestimmte Besitzrechte, Berechtigungen, Änderungszeiten oder Geburtszeiten auf eine Datei oder ein Verzeichnis außerhalb des Zielverzeichnisses anwenden; dabei ist für chmod und chown das Flag --metadata erforderlich, während die Änderungszeit über den normalen Verzeichnis-Workflow angewendet wird. Dieses Problem wurde in Version 1.75.1 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.