Уязвимость в RC-сервере Rclone позволяет удалённо выполнить код

В инструменте облачной синхронизации Rclone обнаружена уязвимость, которая позволяет удалённо выполнить код. Проблема связана с RC-сервером - компонентом для удалённого управления программой. Как сообщается в Банке данных угроз безопасности информации (BDU), злоумышленник может отправить специально сформированный запрос к конечной точке operations/fsinfo и выполнить произвольные команды на целевой системе. Производитель уже подтвердил уязвимость, а в открытом доступе существует эксплойт.

Детали уязвимости

Уязвимость получила идентификатор CVE-2026-41179 и внесена в BDU под номером BDU:2026-10664. Она затрагивает все версии Rclone с 1.48.0 по 1.73.5 включительно. Причина - недостаточная нейтрализация специальных элементов при обработке запросов. Ошибка относится сразу к нескольким категориям: внедрение команд (CWE-78), внедрение кода (CWE-94) и отсутствие аутентификации для критичной функции (CWE-306). Сочетание этих проблем делает уязвимость многофакторной и особенно опасной, поскольку атакующему не нужно проходить проверку подлинности.

Судя по базовому вектору, атака выполняется удалённо и не требует специальных привилегий или участия пользователя. Достаточно отправить запрос к уязвимой конечной точке. Уровень опасности оценён как критический: базовые оценки по шкале CVSS составляют 9,8 и 9,2 для версий 3.1 и 4.0 соответственно. В открытом доступе опубликованы подтверждающие концепции, что повышает риск практического использования. По данным источника, эксплойт доступен для изучения, что делает уязвимость привлекательной для злоумышленников.

Механизм эксплуатации заключается в том, что конечная точка operations/fsinfo обрабатывает параметры, переданные в запросе, и использует их при формировании команд для операционной системы. Из-за отсутствия фильтрации специальных символов злоумышленник может встроить в параметры дополнительные команды. Такие ошибки известны как внедрение команд и часто встречаются в веб-приложениях и интерфейсах управления. В данном случае проблема усугубляется тем, что RC-сервер не требует аутентификации, поэтому атака может быть проведена без каких-либо учётных данных. Для успешной эксплуатации достаточно отправить один HTTP-запрос к уязвимому порту.

Rclone - популярный инструмент с открытым исходным кодом для синхронизации файлов между локальной системой и облачными хранилищами, такими как Amazon S3, Google Drive, Dropbox и другими. Он широко применяется для резервного копирования, переноса данных и автоматизации рабочих процессов. RC-сервер позволяет администраторам управлять Rclone через HTTP-запросы, например, запускать синхронизацию или получать информацию о состоянии. Обычно этот интерфейс используется только во внутренней сети или через защищённые каналы связи. В корпоративной среде Rclone часто развёртывают на серверах, где он работает под учётной записью службы, что расширяет потенциальный ущерб. Благодаря своей гибкости Rclone используется как в небольших компаниях, так и в крупных организациях для автоматизации перемещения данных.

Однако если RC-сервер доступен по сети без должной защиты, уязвимость может привести к полному компрометированию системы. В случае успешной эксплуатации атакующий получает возможность выполнять команды с правами процесса Rclone. Это открывает путь к краже данных, их шифрованию с требованием выкупа или дальнейшему продвижению по корпоративной инфраструктуре. Особенно критично, что для атаки не нужна аутентификация, а значит, любой, кто может обратиться к уязвимому порту, становится потенциальным злоумышленником. Если Rclone запущен с повышенными привилегиями, последствия могут быть ещё серьёзнее, вплоть до полного контроля над сервером.

Разработчики Rclone уже выпустили исправление в версии 1.73.5. Пользователям настоятельно рекомендуется обновить программу до актуальной версии. Ссылки на исправление и бюллетень безопасности опубликованы в официальном репозитории проекта. Перед обновлением стоит проверить установленную версию и убедиться, что она ниже 1.73.5. Кроме того, следует ограничить доступ к RC-серверу: не открывать его в публичную сеть, использовать межсетевые экраны и списки контроля доступа. Если RC-сервер необходим для автоматизации, стоит настроить аутентификацию и использовать VPN или SSH-туннели. Других временных мер в бюллетене не указано, поэтому обновление остаётся основным способом устранения уязвимости. После обновления необходимо перезапустить все запущенные экземпляры Rclone, чтобы изменения вступили в силу.

Уязвимость привлекает внимание к проблеме безопасности инструментов автоматизации и удалённого управления. Проекты с открытым исходным кодом часто становятся целью атак, так как их код доступен для анализа, а пользователи не всегда своевременно обновляют программное обеспечение. Регулярное обновление и минимизация сетевой доступности остаются ключевыми мерами защиты. Помимо этого, администраторам стоит следить за рекомендациями разработчиков и оперативно применять исправления, особенно если такие инструменты используются в критически важных процессах. Разработка эффективных мер защиты требует комплексного подхода, включающего как технические средства, так и организационные процедуры.