Rclone: Server-side Request Forgery über scheme-relative Roots bei --rc-serve

Zusammenfassung

Die Option --rc-serve von rclone stellt bestehende benannte Remotes ohne Authentifizierung bereit. Ein Root, das mit einem doppelten Schrägstrich beginnt, wird bei http- und netstorage-Remotes akzeptiert und leitet die Anfrage an einen vom Angreifer gewählten Host und Port um. Ein nicht authentifizierter Angreifer, der den Namen eines Remotes kennt, kann so Antworten lesen, die konfigurierten benutzerdefinierten Header abgreifen oder NetStorage-Anfragesignaturen erhalten. Voraussetzung ist, dass --rc-serve aktiviert und erreichbar ist und keine RC-HTTP-Authentifizierung konfiguriert ist.

Betroffen

• rclone 1.37 bis vor 1.74.2 gemäss CVE-Eintrag und GitHub-Advisory
• Der Melder hat das Problem zusätzlich auf v1.75.1 reproduziert, daher ist die genaue korrigierte Version unklar

Behoben in

• Unklar. Der CVE-Eintrag und das GitHub-Advisory nennen 1.74.2; das Änderungsprotokoll des Herstellers ordnet die Korrektur laut Berichten v1.75.2 zu.
• Installieren Sie die neueste Version. Der Hersteller liefert Sicherheitskorrekturen nur für die neueste Version und die neueste Beta.

Umgehung

• Stellen Sie --rc-serve keinen unvertrauenswürdigen Netzwerken zur Verfügung und deaktivieren Sie die Option, wo sie nicht benötigt wird.
• Beschränken Sie ausgehende Verbindungen von rclone-Hosts mit Firewall-Regeln oder Reverse Proxys.
• Aktivieren Sie die RC-HTTP-Authentifizierung und behalten Sie den Standard-Bind auf Loopback bei.

Ausnutzung

• Bis zum Zeitpunkt der Datenerfassung ist kein öffentlicher Exploit-Code bestätigt.
• Zum Zeitpunkt der Recherche ist die Schwachstelle nicht im KEV-Katalog der CISA gelistet; bitte erneut prüfen.
• Im nuclei-templates-Repository existiert ein Pull Request mit dem Titel 'Add CVE-2026-116192'; dessen Inhalt wurde nicht verifiziert.

Unsere Empfehlung

• Aktualisieren Sie alle rclone-Installationen auf die neueste Version und prüfen Sie die Korrektur anhand des GitHub-Advisory.
• Prüfen Sie, ob --rc-serve auf einem Host aktiviert ist und ob er aus unvertrauenswürdigen Netzwerken erreichbar ist.
• Rotieren Sie Zugangsdaten, die in benutzerdefinierten Headern von HTTP-Remotes gespeichert sind, falls eine Offenlegung möglich ist.
• Überwachen Sie rclone-Hosts auf unerwartete ausgehende HTTP-Anfragen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-xqmq-v4wj-rw5m github.com
• VulnCheck advisory for CVE-2026-116192 www.vulncheck.com
• OSV entry BIT-rclone-2026-116192 osv.dev
• rclone changelog rclone.org
• rclone releases github.com
• rclone security policy github.com
• Ubuntu CVE tracker entry ubuntu.com
• OpenCVE entry CVE-2026-116192 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:02.