CVE-2026-88018 in rclone
Riassunto
di VulDB • 10/09/2026
rclone è un programma a riga di comando per sincronizzare file e directory con diversi provider di storage cloud. Prima della versione 1.75.1, il servizio s3 configurato in rclone con l'opzione --auth-proxy ma senza --auth-key consente al middleware authPairMiddleware di registrare qualsiasi accessKeyID scelta dal client con un ws.s3Secret vuoto. gofakes3 verifica quindi la firma SigV4 della richiesta contro lo stesso segreto vuoto, mentre Server.auth passa l'identificatore della chiave di accesso sia come utente che come valore di autenticazione al proxy senza un segreto indipendente per ogni identità. Un attaccante non autenticato in rete può pertanto scegliere una chiave di accesso arbitraria, firmare con un segreto vuoto e accedere a qualsiasi backend che lo script auth-proxy risolve per tale identità. Questo problema è stato risolto nella versione 1.75.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.