CVE-2026-88018 in rclone
Zusammenfassung
von VulDB • 10.09.2026
rclone ist ein Befehlszeilenprogramm zum Synchronisieren von Dateien und Verzeichnissen mit verschiedenen Cloud-Speicheranbietern. Vor Version 1.75.1 erlaubt rclone serve s3, das mit --auth-proxy konfiguriert wurde, aber ohne --auth-key, dass authPairMiddleware eine beliebige, vom Client gewählte accessKeyID mit einem leeren ws.s3Secret registriert. gofakes3 überprüft dann die SigV4-Signatur der Anfrage gegen dieses gleiche leere Geheimnis, während Server.auth den Access-Key-Identifikator sowohl als Benutzer als auch als Authentifizierungswert an das Proxy ohne ein unabhängiges pro Identität festgelegtes Geheimnis übergibt. Ein nicht authentifizierter Netzwerkangreifer kann daher einen beliebigen Access Key wählen, mit einem leeren Secret signieren und auf jedes Backend zugreifen, das der auth-proxy-Script für diese Identität auflöst. Dieses Problem wurde in Version 1.75.1 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.