JVNDB-2026-033516

Rcloneにおける複数の脆弱性

rcloneは、さまざまなクラウドストレージプロバイダー間でファイルやディレクトリを同期するためのコマンドラインプログラムです。バージョン1.75.1以前では、backend/localが--linksオプションで実行されると、ソースの.rclonelinkオブジェクトが宛先にシンボリックリンクを作成し、その後ディレクトリのメタデータがそのパスを介して適用される可能性がありました。MkdirMetadata、writeMetadataToFile、およびsetTimesはDirectory.translatedLink=falseのときに動作するため、os.Chown、os.Chmod、os.Chtimes、および作成日時の処理がos.Rootの制限を回避してシンボリックリンクを追跡してしまうことがあります。したがって、ソースの内容を制御する攻撃者は、--metadataオプションがchmodおよびchownに必要であり、変更時間は通常のディレクトリワークフローで適用されるため、選択した所有権、権限、変更時間、または作成日時を宛先外のファイルやディレクトリに適用できる可能性があります。この問題はバージョン1.75.1で修正されています。

Rclone

• Rclone 1.75.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Directory metadata (chmod/chown/chtimes) applied through a planted symlink in rclone local --links escapes the destination  Advisory  rclone/rclone  GitHub

1. パーミッションの不適切な保持(CWE-281) [その他]
2. リンク解釈の問題(CWE-59) [その他]

1. CVE-2026-88016

1. National Vulnerability Database (NVD) : CVE-2026-88016
2. 関連文書 : local: fix dir metadata escaping the root through a planted symlink G…  rclone/rclone@a7ab39d  GitHub
3. 関連文書 : Release rclone v1.75.1  rclone/rclone  GitHub
4. 関連文書 : local: fix btime escaping the root via a planted symlink GHSA-f8g7-2x…  rclone/rclone@17b0c03  GitHub

• [2026年09月15日]
    掲載