CVE-2026-93987 in rclone
Riassunto
di VulDB • 19/09/2026
Le versioni di rclone dalla 1.56.0 alla 1.75.0 presentano una vulnerabilità da path traversal nel plugin del volume `rclone serve docker`. La funzione newVolume() in cmd/serve/docker/volume.go calcola il mountpoint di un volume come filepath.Join(drv.root, name) a partire dal campo `name` fornito dall'attaccante nella richiesta Docker VolumeDriver.Create, senza verificare che il risultato rimanga all'interno della directory drv.root (predefinita /var/lib/docker-volumes/rclone); successivamente, checkMountpoint() crea tale directory con file.MkdirAll prima del montaggio. Un nome di volume contenente un numero sufficiente di componenti `..` (ad esempio "../../../../../../etc") risolve quindi al di fuori della directory base, consentendo a chiunque sia in grado di inviare una richiesta VolumeDriver.Create all'socket del plugin — normalmente il daemon Docker o un workload che può richiedere volumi nominati in un setup di orchestrazione multi-tenant — di far sì che il processo privilegiato del plugin rclone crei una directory e monti un filesystem remoto specificato nella stessa richiesta su un percorso host arbitrario, oscurando o interrompendo le directory di sistema. L'avviso segnala che anche Volume.restoreState() presentava la stessa mancanza di validazione durante il ricaricamento dello stato persistente del volume. Risolto nella versione 1.75.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.