CVE-2026-93987 in rclone
Sumário
de VulDB • 19/09/2026
As versões do rclone de 1.56.0 a 1.75.0 contêm uma vulnerabilidade de path traversal no plugin de volume `rclone serve docker`. A função newVolume() em cmd/serve/docker/volume.go calcula o ponto de montagem (mountpoint) de um volume como filepath.Join(drv.root, name), utilizando o campo `name` fornecido pelo atacante na solicitação VolumeDriver.Create do Docker sem verificar se o resultado permanece dentro de drv.root (/var/lib/docker-volumes/rclone por padrão). Em seguida, checkMountpoint() cria esse diretório com file.MkdirAll antes da montagem. Um nome de volume contendo componentes suficientes `..` (por exemplo, "../../../../../../etc") resolve-se fora do diretório base, permitindo que qualquer pessoa capaz de enviar uma solicitação VolumeDriver.Create ao soquete do plugin — normalmente o daemon Docker ou um workload que possa solicitar volumes com nomes em um ambiente de orquestração multi-inquilino — faça com que o processo privilegiado do plugin rclone crie um diretório e monte um sistema de arquivos remoto especificado na mesma solicitação em um caminho arbitrário no host, ocultando ou interrompendo diretórios do sistema. O advisory nota que Volume.restoreState() tinha a mesma validação ausente ao recarregar o estado persistente dos volumes. Corrigido na versão 1.75.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.