Rclone: Path Traversal in serve webdav erlaubt Schreibzugriffe ausserhalb des Root

Zusammenfassung

Rclone vor Version 1.75.2 enthält in der Funktion serve webdav eine Path-Traversal-Schwachstelle. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann mit einem MKCOL-Request auf /.. einen Knoten oberhalb des freigegebenen Verzeichnisses anlegen und danach Dateien dort erstellen, überschreiben, verschieben, kopieren oder löschen, auch Dateien anderer Mandanten im selben Backend. Der Angriff benötigt nur zwei HTTP-Requests und wird mit CVSS 4.0 (8.7) als hoch mit Integritätsauswirkung eingestuft.

Betroffen

• rclone serve webdav, alle Versionen vor 1.75.2
• Die erste betroffene Version ist unbekannt; es darf nicht angenommen werden, welche 1.7x-Versionen nicht betroffen sind.

Behoben in

• Auf rclone 1.75.2 oder neuer aktualisieren (veröffentlicht am 9. Oktober 2026).
• Distributionspakete können hinterherhinken; das Upstream-Binary oder ein Paket verwenden, dessen Fix bestätigt ist.

Umgehung

• Der Hersteller dokumentiert keine Workaround-Massnahme.
• Bis zur Aktualisierung serve webdav nicht dem Internet oder nicht vertrauenswürdigen Netzen aussetzen; den Zugriff per Firewall oder VPN einschränken.
• serve webdav nicht für gemeinsam genutzten oder mandantenübergreifenden Speicher verwenden.
• Unbekannt: ob eine Authentifizierung die Ausnutzung verhindert. Bis zur Bestätigung nicht als Massnahme darauf vertrauen.

Ausnutzung

• Nicht in CISA KEV gelistet; keine bestätigte Ausnutzung bekannt.
• CISA SSVC: Exploitation none, automatisierbar ja.
• HackerWire listet keinen öffentlichen PoC. Vulners listet einen nicht verifizierten GitHub-Eintrag mit dem Titel 'Exploit for CVE-2026-116191'.
• Ein Nuclei-Erkennungstemplate existiert, verwundbare Hosts lassen sich daher von Scannern leicht finden.

Unsere Empfehlung

• Alle Hosts mit rclone serve webdav identifizieren, zuerst jene, die aus nicht vertrauenswürdigen Netzen erreichbar sind.
• Auf rclone 1.75.2 oder neuer aktualisieren und die installierte Version prüfen.
• Bis zur Aktualisierung die öffentliche Erreichbarkeit entfernen und den Zugriff per Firewall oder VPN einschränken.
• Freigegebene Verzeichnisse und den dahinterliegenden Speicher auf unerwartete, veränderte oder fehlende Dateien prüfen; Zugriffslogs auf MKCOL-Requests mit '..' auswerten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  asvorg/CVE-2026-116191-poc

Quellen der Recherche

• GitHub Security Advisory GHSA-44pm-2q5p-fm63 github.com
• VulnCheck advisory: Rclone before 1.75.2 Path Traversal via serve webdav MKCOL www.vulncheck.com
• OSV entry BIT-rclone-2026-116191 osv.dev
• Ubuntu Security Notice CVE-2026-116191 ubuntu.com
• rclone 1.75.2 release announcement (forum) forum.rclone.org
• rclone releases github.com
• Nuclei detection template pull request github.com
• HackerWire: CVE-2026-116191 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:16.