JVNDB-2026-013532

Rcloneにおける複数の脆弱性

Rcloneは異なるクラウドストレージプロバイダー間でファイルやディレクトリを同期するためのコマンドラインプログラムです。バージョン1.48.0から1.73.5未満の間、RCエンドポイント`operations/fsinfo`には`AuthRequired: true`が設定されておらず、攻撃者が制御する`fs`入力を受け入れていました。`rc.GetFs(...)`はインラインバックエンド定義をサポートしているため、認証されていない攻撃者が任意に攻撃者制御下のバックエンドをインスタンス化できます。WebDAVバックエンドの場合、`bearer_token_command`はバックエンド初期化時に実行されるため、グローバルHTTP認証なしで到達可能なRCデプロイメントに対して、単一リクエストで認証されていないローカルコマンド実行が可能となっていました。この問題はバージョン1.73.5で修正されています。

Rclone

• Rclone 1.48.0 以上 1.73.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unauthenticated RC operations/fsinfo allows attacker-controlled backend instantiation and local command execution via WebDAV bearer_token_command  Advisory  rclone/rclone  GitHub

1. 重要な機能に対する認証の欠如(CWE-306) [その他]
2. OSコマンドインジェクション(CWE-78) [その他]

1. CVE-2026-41179

1. National Vulnerability Database (NVD) : CVE-2026-41179
2. 関連文書 : rclone/fs/operations/rc.go at bf55d5e6d37fd86164a87782191f9e1ffcaafa82  rclone/rclone  GitHub
3. 関連文書 : rclone/fs/rc/cache.go at bf55d5e6d37fd86164a87782191f9e1ffcaafa82  rclone/rclone  GitHub
4. 関連文書 : rclone/backend/webdav/webdav.go at bf55d5e6d37fd86164a87782191f9e1ffcaafa82  rclone/rclone  GitHub

• [2026年04月30日]
    掲載