CVE-2026-93987 in rclone
要約
〜によって VulDB • 2026年09月19日
rclone のバージョン 1.56.0 から 1.75.0 には、`rclone serve docker` ボリュームプラグインにおけるパストラバーサルの脆弱性が存在します。cmd/serve/docker/volume.go の newVolume() は、Docker VolumeDriver.Create リクエストの攻撃者が指定した `name` フィールドから filepath.Join(drv.root, name) を用いてボリュームのマウントポイントを取得しますが、その結果が drv.root（デフォルトは /var/lib/docker-volumes/rclone）内に収まるかどうかを検証しません。さらに checkMountpoint() はその後 file.MkdirAll で当該ディレクトリを作成し、マウントを実行します。そのため、「../../../../../../etc」のように `..` コンポーネントを十分に含んだボリューム名を使用すると、ベースディレクトリの外側へ解決され、プラグインのソケットに対して VolumeDriver.Create リクエストを送信できる者（通常は Docker デーモン、またはマルチテナント環境で名前付きボリュームのリクエストが可能なワークロード）によって、特権を持つ rclone プラグインプロセスに任意のホストパス上にディレクトリを作成させ、かつ同じリクエストで指定されたリモートファイルシステムをマウントさせることができます。これにより、システムのディレクトリが上書きされたり、機能が妨害されたりする可能性があります。アドバイザリでは、永続化されたボリューム状態のリロード時に Volume.restoreState() にも同様の検証欠如があることが指摘されています。この問題はバージョン 1.75.1 で修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.