CVE-2026-41179: Rclone: endpoint RC sem autenticação permite injeção de comando no sistema operacional

Visão geral

O Rclone é uma ferramenta de linha de comando para sincronizar arquivos e diretórios com provedores de armazenamento em nuvem. Esta falha envolve o endpoint RC operations/fsinfo, que, segundo o registro, fica acessível sem a flag AuthRequired e aceita entrada fs controlada pelo atacante. O aviso do fornecedor está disponível em GHSA-jfwf-28xr-xw6q.

Impacto

• Um atacante remoto e não autenticado que alcance uma implantação RC sem autenticação HTTP global pode conseguir fazer com que ela instancie um backend definido por ele.
• No backend WebDAV, um valor de configuração é executado como comando durante a inicialização, o que o aviso descreve como execução local de comandos a partir de uma única requisição.
• O registro classifica a fraqueza como CWE-78 (injeção de comando no sistema operacional). A NVD lista pontuação base CVSS de 9,8, com alto impacto em confidencialidade, integridade e disponibilidade.
• Os dados SSVC do registro indicam impacto técnico total.

Produtos e versões afetadas

O registro indica que as versões do Rclone a partir de 1.48.0 até antes de 1.73.5 são afetadas. A descrição afirma que a versão 1.73.5 corrige o problema. O campo estruturado de correções está vazio, por isso a versão corrigida foi obtida do texto da descrição.

Status de exploração

A vulnerabilidade não consta como listada no catálogo KEV da CISA neste registro, portanto não há exploração ativa confirmada pelo KEV. O campo de exploração do SSVC está definido como 'poc', indicando disponibilidade de prova de conceito conforme registrado. A probabilidade EPSS é 0,05299, com percentil 0,92561. A lista de referências inclui uma entrada marcada como 'Exploit', mas o registro não descreve seu conteúdo. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Correção e mitigação

• Atualize o Rclone para a versão 1.73.5 ou posterior, conforme informado no registro.
• Enquanto a atualização não for aplicada, evite expor endpoints RC a redes não confiáveis e restrinja o acesso a administradores de confiança.
• Verifique se a interface RC está habilitada em algum host e desative-a onde não for necessária.
• Considere habilitar autenticação na interface RC como controle adicional, o que é uma inferência a partir da descrição e não uma recomendação explícita do fornecedor.

Orientações de detecção

• Revise os logs da interface RC em busca de requisições ao operations/fsinfo originadas de fontes ou contas inesperadas.
• Inventarie hosts com Rclone e RC habilitado e verifique se estão acessíveis a partir de redes não confiáveis.
• Monitore processos filhos inesperados iniciados pelo Rclone, o que seria compatível com execução de comandos durante a inicialização de backend.

Limitações das informações disponíveis

O registro não informa a configuração padrão exata, se a RC vem habilitada por padrão nem o conjunto completo de condições de implantação afetadas. O campo estruturado de correções está vazio, então a versão corrigida depende da descrição e da versão referenciada. O status de exploração se baseia nos campos KEV, SSVC e EPSS do registro e não foi verificado de forma independente.

Perguntas frequentes

Quais versões do Rclone são afetadas pelo CVE-2026-41179?

Segundo o registro, as versões a partir de 1.48.0 até antes de 1.73.5 são afetadas.

Há exploração ativa conhecida para esta vulnerabilidade?

O registro indica que a falha não consta no catálogo KEV da CISA e que nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O campo SSVC indica exploração em nível de prova de conceito.

O que os administradores devem fazer primeiro?

Atualizar o Rclone para a versão 1.73.5 ou posterior e, até lá, restringir o acesso aos endpoints RC a partir de redes não confiáveis.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.