概要
rclone rcd --rc-serve でリモートデーモンを外部公開している場合、インライン remote 実体化の仕組みを悪用することで、認証なしにホスト上でコマンドを実行できます。
本脆弱性は CVE-2026-41179 への修正を回避する新たな経路です。CVE-2026-41179 のパッチを適用済みの環境でも、本脆弱性の影響を受ける可能性があります。Rclone はファイル同期・クラウドストレージ管理ツールとして広く利用されており、自動化スクリプトや CI/CD パイプラインで rclone rcd を使っているケースでの影響が懸念されます。
CVSSベクトル
| 項目 | 値 |
|---|---|
| 攻撃経路（AV） | Network |
| 攻撃複雑度（AC） | Low |
| 必要権限（PR） | None |
| ユーザー関与（UI） | None |
| スコープ（S） | Unchanged |
| 機密性（C） | High |
| 完全性（I） | High |
| 可用性（A） | High |
| CVSS スコア（推定） | 9.8 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Rclone | rclone.org | v1.74.3 未満 |
影響条件: rclone rcd --rc-serve フラグを使ってデーモンを起動し、ネットワークからアクセス可能な状態にしている場合。
修正バージョンと回避策
修正バージョン: Rclone v1.74.3 以降
推奨対応:
- Rclone v1.74.3 以降へアップデートする
rclone rcdを使用している場合は、ファイアウォールで rcd のポート（デフォルト 5572）をローカルホストからのアクセスのみに制限する--rc-no-authオプションを使用している場合は無効化する
関連リンク
データソース: GitHub Advisory Database
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。