CVE-2026-88016 in Rclone
요약
\~에 의해 VulDB • 2026. 09. 10.
rclone은 다양한 클라우드 스토리지 제공업체 간에 파일 및 디렉토리를 동기화하기 위한 명령줄 프로그램입니다. 버전 1.75.1 이전에서는 backend/local이 --links 옵션으로 실행될 때 소스 .rclonelink 객체가 대상 경로에 심볼릭 링크를 생성하고, 이후 디렉토리 메타데이터가 해당 경로를 통해 적용됩니다. MkdirMetadata, writeMetadataToFile 및 setTimes는 Directory.translatedLink=false일 때 작동하므로, os.Chown, os.Chmod, os.Chtimes 및 birth-time 처리는 os.Root 격리(confinement)를 우회하여 심볼릭 링크를 따라갈 수 있습니다. 따라서 소스 내용을 제어하는 공격자는 --metadata 옵션을 chmod와 chown에 필요로 하며 수정 시간은 일반적인 디렉토리 워크플로우를 통해 적용되는 반면, 대상 외부의 파일 또는 디렉토리에 선택된 소유권, 권한, 수정 시간 및 생성 시간을 적용할 수 있습니다. 이 문제는 버전 1.75.1에서 해결되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.