CVE-2026-88017

Nome do Software Vulnerável e Versões Afetadas rclone versões 1.64.0 até 1.75.0

Description O driver de proxy de autenticação FTP em cmd/serve/ftp/ftp.go não vincula as credenciais ou o Sistema de Arquivos Virtual (VFS) a sessões autenticadas específicas. Em vez disso, ele armazena uma senha obscurecida por nome de usuário em um mapa userPass global do servidor. Se duas credenciais diferentes usarem o mesmo nome de usuário, mas forem mapeadas para backends de proxy diferentes, um login subsequente com o mesmo nome de usuário sobrescreverá a entrada existente no mapa userPass. Consequentemente, qualquer sessão estabelecida anteriormente usando esse nome de usuário será reautorizada com a nova senha, permitindo que a primeira sessão leia, crie, sobrescreva, renomeie ou exclua objetos usando a autoridade do backend da segunda credencial. Essa falha de isolamento de sessão ocorre quando a função getVFS() recupera a senha mais recente para um nome de usuário, em vez daquela associada à sessão específica. A exploração requer que um segundo login com o mesmo nome de usuário ocorra enquanto a primeira sessão permanecer aberta.

Recommendations Atualize o rclone para a versão 1.75.1. Como mitigação temporária, restrinja o uso do comando rclone serve ftp --auth-proxy em ambientes onde múltiplas credenciais distintas possam ser usadas para o mesmo nome de usuário.