Impatto Sistemico

Critico (77.82)

Sintesi

Disponibili Proof of Concept (PoC) per lo sfruttamento di 10 vulnerabilità, già sanate dal vendor, presenti in Rclone, software open source per la sincronizzazione e il trasferimento di file verso servizi di archiviazione remota e cloud.

Tipologia

• Arbitrary Code Execution
• Authentication Bypass
• Data Manipulation
• Arbitrary File Write/Deletion
• Denial of Service
• Information Disclosure
• Tampering

Descrizione e potenziali impatti

Sono stati recentemente resi pubblici diversi Proof of Concept (PoC) relativi a 10 nuove vulnerabilità che interessano Rclone. Di seguito sono riportati i dettagli:

• CVE-2026-116196 : la vulnerabilità – di tipo “Cleartext Transmission of Sensitive Information” e con CVSS v4.0 pari a 6.0 – interessa il backend B2 ed è dovuta alla gestione non adeguata dei redirect HTTP durante le operazioni di download effettuate tramite l’opzione --b2-download-url . Un attaccante, mediante redirect opportunamente predisposti, potrebbe ottenere token di autorizzazione B2 e chiavi di cifratura SSE-C, consentendo l’accesso non autorizzato a dati e risorse degli account interessati.
• CVE-2026-116195 : la vulnerabilità – di tipo “Path Traversal” e con score CVSS v4.0 pari a 7.0 – interessa il backend locale ed è causata da una validazione non adeguata dei percorsi nella funzione translateLink , che può consentire la risoluzione di percorsi al di fuori della directory di destinazione prevista. Un attaccante, mediante la predisposizione di directory opportunamente create all’interno di dati sincronizzati con le opzioni --links e --metadata , potrebbe modificare ownership, timestamp e metadati di directory esterne alla destinazione configurata e, ove il processo venga eseguito con privilegi elevati, potrebbe inoltre ottenere il controllo della directory padre della destinazione del backup.
• CVE-2026-116194 : la vulnerabilità – di tipo “Cross-Site Request Forgery (CSRF)” e con score CVSS v4.0 pari a 7.6 – interessa il backend pCloud ed è dovuta alla disabilitazione del controllo del parametro state nel callback OAuth locale e dalla validazione non adeguata del parametro hostname . Un attaccante, inducendo la vittima a visitare una pagina web opportunamente predisposta durante la procedura di autorizzazione, potrebbe alterare la configurazione del remote pCloud e reindirizzare i successivi trasferimenti verso infrastrutture controllate dall’attaccante, consentendo l’acquisizione o la manipolazione dei dati trasferiti.
• CVE-2026-116193 : la vulnerabilità – di tipo “Authentication Bypass” e con score CVSS v4.0 pari a 6.9 – interessa la funzionalità WebDAV ed è causata da meccanismi di sicurezza non adeguati per le richieste HTTP OPTIONS . Un attaccante non autenticato, mediante l’invio di richieste opportunamente predisposte, potrebbe verificare l’esistenza e la tipologia di file o directory, ottenendo informazioni sulla struttura delle risorse esposte sui sistemi interessati.
• CVE-2026-116192 : la vulnerabilità – di tipo “Server-Side Request Forgery (SSRF)” e con score CVSS v4.0 pari a 8.2 – interessa la funzionalità --rc-serve ed è causata da una validazione non adeguata dei percorsi associati ai named remote . Un attaccante non autenticato, mediante richieste opportunamente predisposte contenenti percorsi manipolati, potrebbe indurre il sistema ad effettuare richieste HTTP o NetStorage verso host arbitrari sotto il proprio controllo, ottenendo informazioni riservate, header configurati o firme valide utilizzabili per ulteriori attività malevole.
• CVE-2026-116191 : la vulnerabilità – di tipo “Path Traversal” e con score CVSS v4.0 pari a 8.7 – interessa la funzionalità WebDAV ed è causata dalla validazione non adeguata dei componenti di percorso contenenti ” .. “. Un attaccante non autenticato, mediante richieste WebDAV opportunamente predisposte, potrebbe creare, sovrascrivere, spostare o eliminare file e directory al di fuori del percorso configurato, alterando dati o contenuti appartenenti ad altri utenti o tenant presenti sui sistemi interessati.
• CVE-2026-116190 : la vulnerabilità – di tipo “Exposure of Sensitive Information” e con score CVSS v4.0 pari a 6.3 – interessa il backend WebDAV ed è causata dall’inoltro di header personalizzati contenenti credenziali durante la gestione di redirect HTTP verso host differenti. Un attaccante che sia in grado di controllare o influenzare tali redirect potrebbe acquisire header di autenticazione configurati dall’operatore e riutilizzarli per autenticarsi al servizio WebDAV associato.
• CVE-2026-116189 : la vulnerabilità – di tipo “Signature Verification Bypass” e con score CVSS v4.0 pari a 7.7 – interessa la funzionalità di aggiornamento automatico di Rclone ed è causata da una validazione non corretta dei checksum utilizzati durante la verifica delle firme degli aggiornamenti. Un attaccante che sia in grado di controllare il canale di distribuzione degli aggiornamenti potrebbe aggirare le verifiche di integrità e indurre l’installazione di una versione di Rclone appositamente modificata, ottenendo l’esecuzione di codice arbitrario con i privilegi dell’utente che ha eseguito l’aggiornamento.
• CVE-2026-116188 : la vulnerabilità – di tipo “Integer Overflow or Wraparound” e con score CVSS v4.0 pari a 6.9 – interessa la funzionalità S3 ed è causata da controlli non adeguati nella gestione dei limiti di memoria associati agli upload multipart. Un attaccante, mediante richieste opportunamente predisposte, potrebbe eludere le limitazioni di buffering configurate e provocare un consumo eccessivo di memoria, compromettendo la disponibilità del servizio sui sistemi interessati.
• CVE-2026-116187 : la vulnerabilità – di tipo “Authorization Bypass” e con score CVSS v4.0 pari a 6.1 – interessa la funzionalità --auth-proxy presente in serve s3 ed è causata da controlli non adeguati sull’associazione tra tenant e upload multipart. Un utente autenticato, qualora riesca ad ottenere gli identificativi di un upload appartenente ad un altro tenant, potrebbe interferire con le relative operazioni multipart, inserendo nuove parti, completando o interrompendo upload in corso e ottenendo informazioni sui relativi metadati.

Prodotti e/o versioni affette

rclone, versione 1.75.1 e precedenti

Azioni di mitigazione

Ove non provveduto, si raccomanda di aggiornare tempestivamente i prodotti vulnerabili all’ultima versione disponibile.