CVE-2026-93987 in rclone
Сводка
по VulDB • 19.09.2026
В версиях rclone от 1.56.0 до 1.75.0 присутствует уязвимость обхода пути (path traversal) в плагине тома `rclone serve docker`. Функция newVolume() в cmd/serve/docker/volume.go вычисляет точку монтирования тома как filepath.Join(drv.root, name), используя предоставленное злоумышленником поле `name` из запроса VolumeDriver.Create Docker без проверки того, что результат остается в пределах drv.root (по умолчанию /var/lib/docker-volumes/rclone). Затем функция checkMountpoint() создает эту директорию с помощью file.MkdirAll перед монтированием. Имя тома, содержащее достаточное количество компонентов `..` (например, "../../../../../../etc"), разрешается вне базового каталога, что позволяет любому, кто может отправить запрос VolumeDriver.Create в сокет плагина — обычно это демон Docker или рабочая нагрузка, способная запрашивать именованные тома в многопользовательской среде оркестрации, — заставить привилегированный процесс rclone создать каталог и смонтировать удаленную файловую систему, указанную в том же запросе, по произвольному пути на хосте, затеняя или нарушая работу системных директорий. В рекомендациях (advisory) отмечается, что функция Volume.restoreState() имела ту же отсутствующую проверку при перезагрузке сохраненного состояния тома. Исправлено в версии 1.75.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.