CVE-2026-88018 in rclone
要約
〜によって VulDB • 2026年09月10日
rcloneは、異なるクラウドストレージプロバイダ間でファイルおよびディレクトリを同期するためのコマンドラインプログラムです。バージョン1.75.1より前では、--auth-proxyで構成されているが--auth-keyがない状態でrclone serve s3を実行すると、authPairMiddlewareが空のws.s3Secretに対して任意のクライアント指定のaccessKeyIDを登録できます。gofakes3はその後、そのリクエストのSigV4署名を同じ空のシークレットに対して検証し、Server.authはアクセスキー識別子を独立した個別のアイデンティティ用シークレットなしでプロキシへのユーザーおよび認証値として渡します。したがって、未認証のネットワーク攻撃者は任意のアクセスキーを選択して空のシークレットで署名を行い、そのアイデンティティに対してauth-proxyスクリプトが解決するバックエンドにアクセスできます。この問題はバージョン1.75.1で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.