CVE-2026-49980: Rclone rcd --rc-serve: ausência de autenticação permite execução de comandos
As versões do Rclone da 1.46.0 até antes da 1.74.3 são afetadas quando o serviço rcd --rc-serve está em uso, pois ele aceita requisições GET e HEAD sem autenticação que podem levar à execução de comandos durante a inicialização do backend. O registro classifica a falha como crítica, com pontuação CVSS 3.1 de 9.8 fornecida pelo CNA, e informa que a correção está na versão 1.74.3. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O Rclone é uma ferramenta de linha de comando para sincronizar arquivos e diretórios com diversos provedores de armazenamento em nuvem. O registro descreve uma falha de autenticação ausente (CWE-306) no modo rcd --rc-serve, em que requisições GET e HEAD sem autenticação alcançam a lógica de inicialização de backends que pode executar comandos locais.
Impacto
Segundo o registro, uma única requisição GET ou HEAD sem autenticação pode executar um comando com o usuário do processo rclone. O vetor CVSS 3.1 informado pelo CNA é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, com pontuação base de 9.8. O registro também lista uma segunda pontuação CVSS 3.1, de 8.1, atribuída por outro provedor que não é identificado.
Produtos e versões afetadas
- Rclone (listado no registro como Rclone Rclone): versões da 1.46.0 até antes da 1.74.3.
- Implantações que executam o serviço rcd com --rc-serve.
Status de exploração
O registro não indica inclusão desta CVE no catálogo KEV da CISA. Nenhuma exploração ativa confirmada aparece nas fontes consultadas. O registro não traz dados de EPSS nem de SSVC.
Correção e mitigação
- Atualize o rclone para a versão 1.74.3 ou posterior, que o registro indica como versão corrigida.
- Se a atualização não puder ser feita de imediato, limite a exposição de rede do serviço de controle remoto rcd e não o deixe acessível a redes não confiáveis.
- Consulte o aviso do fornecedor citado no registro para orientações de mitigação: aviso GHSA-qw24-gh76-8rvv.
Orientações de detecção
- Faça um inventário dos hosts com rclone e registre as versões, priorizando as que estão entre 1.46.0 e 1.74.3.
- Analise os logs do serviço rcd em busca de requisições sem autenticação vindas de origens não confiáveis, especialmente as que não correspondem ao uso administrativo esperado.
- Monitore o processo rclone em busca de processos filhos inesperados ou atividade de saída incomum, como indicador de alto nível de execução indevida de comandos.
Limitações das informações disponíveis
O registro não descreve as opções de backend envolvidas, as condições exatas para que a falha seja alcançável nem a identidade do segundo provedor de CVSS. As referências da Red Hat aparecem no registro, mas seu conteúdo não foi incluído, portanto nenhum detalhe foi extraído delas. Não é possível saber, a partir do registro, se outras ramificações mantidas receberam backports.
Perguntas frequentes
Quais versões do Rclone são afetadas pela CVE-2026-49980?
O registro indica versões da 1.46.0 até antes da 1.74.3, quando o serviço rcd é executado com --rc-serve.
Qual é a versão corrigida?
O registro informa que a vulnerabilidade está corrigida na versão 1.74.3. A atualização para essa versão ou posterior é a correção indicada.
Há exploração ativa conhecida para esta CVE?
O registro não a lista no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.