CVE-2026-41179: Критична вразливість у rclone дозволяє виконання локальних команд без автентифікації

Що відомо

У версіях rclone від 1.48.0 до 1.73.4 існує критична вразливість, що дозволяє неавторизованому зловмиснику виконувати локальні команди через уразливий RC endpoint. Проблема пов’язана з неправильною обробкою параметра fs, що дозволяє створювати шкідливі бекенди, зокрема через WebDAV.

Бізнес-вплив

Ця вразливість може призвести до повного компрометації систем, на яких працює rclone, через виконання довільних локальних команд без автентифікації. Для організацій, що використовують rclone для синхронізації даних, це створює високий ризик витоку інформації, порушення цілісності даних та потенційного розповсюдження шкідливого коду в інфраструктурі.

Рекомендовані дії адміністратора

Рекомендується негайно оновити rclone до версії 1.73.5 або новішої, де ця вразливість виправлена. Якщо оновлення наразі неможливе, слід обмежити доступ до RC endpoint, впровадити додаткові механізми автентифікації та провести аудит логів на предмет підозрілої активності. Важливо також переглянути політики безпеки для зменшення поверхні атаки.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference