CVE-2026-93987 in rclone
Zusammenfassung
von VulDB • 19.09.2026
Die Versionen von rclone von 1.56.0 bis 1.75.0 enthalten eine Path-Traversal-Schwachstelle im `rclone serve docker` Volume-Plugin. Die Funktion `newVolume()` in `cmd/serve/docker/volume.go` berechnet den Mountpoint eines Volumes als `filepath.Join(drv.root, name)` basierend auf dem vom Angreifer bereitgestellten Feld `name` einer Docker VolumeDriver.Create-Anfrage, ohne zu überprüfen, ob das Ergebnis innerhalb von `drv.root` (Standard: /var/lib/docker-volumes/rclone) bleibt. Anschließend erstellt die Funktion `checkMountpoint()` dieses Verzeichnis mit `file.MkdirAll`, bevor es eingehängt wird. Ein Volumenname, der genügend `..`-Komponenten enthält (z. B. "../../../../../../etc"), löst sich daher außerhalb des Basisverzeichnisses auf. Dies ermöglicht jeder Entität, die eine VolumeDriver.Create-Anfrage an den Plugin-Socket senden kann – in der Regel dem Docker-Dämon oder einer Workload, die benannte Volumes in einem Multi-Tenant-Orchestrierungssetup anfordern kann –, dass der privilegierte rclone-Plugin-Prozess ein Verzeichnis erstellt und ein Remote-Dateisystem, das in derselben Anfrage angegeben ist, an einem beliebigen Host-Pfad einhängt. Dadurch werden Systemverzeichnisse überschattet oder gestört. Der Sicherheitshinweis vermerkt, dass `Volume.restoreState()` bei der Wiederherhaltung des persistierten Volumenstatus dieselbe fehlende Validierung aufwies. Behebt in Version 1.75.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.