Mittel26 / 100Konfidenz: Mittel

CVSS8.8EPSS0.6 %Über Netz erreichbarOhne Zutun des Nutzers

Betroffene Organisationen sollten umgehend alle rclone-Installationen auf die neueste, gepatchte Version aktualisieren.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 8.8+16
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-71310, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
Fuer 1 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-08-06 11:41 UTCMethodik

[NEU] [hoch] rclone: Mehrere Schwachstellen

CERT-Bund·6. August 2026, 11:41

Originalartikel lesen bei CERT-Bund

Mehrere Schwachstellen in rclone ermöglichen Angreifern die Ausführung von beliebigem Code, Denial-of-Service-Angriffe, Informationslecks, Dateimanipulationen und das Umgehen von Sicherheitsvorkehrungen. Nutzer sind dringend aufgefordert, entsprechende Updates zu installieren, um diese Risiken zu minimieren.

SecBoard-Einordnung

Die Schwachstellen ermöglichen Angreifern weitreichende Kontrolle über Systeme, einschließlich Code-Ausführung und Datenmanipulation, was die Integrität und Vertraulichkeit von Daten gefährdet.

Realistisch schlimmster Fall: Ein Angreifer könnte beliebigen Code auf einem System ausführen, das rclone verwendet, was zu einer vollständigen Kompromittierung des Systems und der darauf gespeicherten oder zugänglichen Daten führen könnte. Dies könnte auch Denial-of-Service-Angriffe und das Umgehen von Sicherheitsvorkehrungen beinhalten.

Key Facts

CVE-2026-59733

CVSS: 8.8 · HIGH
EPSS: 0.6%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 1.74.4

CVE-2026-71312

CVSS: 8.0 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 1.75.0
Zuweisende CNA: security-advisories@github.com

CVE-2026-71313

CVSS: 6.9 · MEDIUM
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: hoch
Beeinträchtigt: Integrität, Verfügbarkeit
Patch: 1.75.0
Zuweisende CNA: security-advisories@github.com

CVE-2026-71311

CVSS: 6.4 · MEDIUM
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: hoch
Beeinträchtigt: Integrität, Verfügbarkeit
Patch: 1.75.0
Zuweisende CNA: security-advisories@github.com

CVE-2026-71310

CVSS: 5.9 · MEDIUM
EPSS: 0.6%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Verfügbarkeit
Patch: 1.75.0
Zuweisende CNA: security-advisories@github.com

CVE-2026-71309

CVSS: unbekannt
EPSS: 0.5%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: 1.75.0
Zuweisende CNA: security-advisories@github.com

Betroffen

Organisationen, die rclone als Befehlszeilen-Cloud-Speicher-Client nutzen.

Prüfen

▸Überprüfen Sie alle Systeme auf die Installation von rclone und identifizieren Sie die aktuell verwendete Version.
▸Stellen Sie sicher, dass ein Prozess zur regelmäßigen Überprüfung und Installation von Sicherheitsupdates für alle verwendeten Softwarekomponenten, einschließlich rclone, etabliert ist.

▸ 1 weitere

▸Überprüfen Sie die Protokolle von Systemen, die rclone verwenden, auf ungewöhnliche Aktivitäten oder Fehlermeldungen, die auf eine Ausnutzung der Schwachstellen hindeuten könnten.

Offene Punkte

▸ anzeigen

▸Es werden keine spezifischen CVE-Nummern für die Schwachstellen genannt.
▸Es werden keine Details zu den betroffenen rclone-Versionen oder den spezifischen Patches genannt.
▸Es werden keine Informationen zu den genauen Angriffsvektoren oder der Komplexität der Ausnutzung gegeben.
▸Es werden keine Informationen zu bekannten Ausnutzungen (in the wild) gegeben.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Haben wir Windows extern erreichbar?

Erwähnte Akteure & Werkzeuge

Werkzeuge

RcloneS1040

Abgleich mit dem MITRE-ATT&CK-Katalog

MITRE ATT&CK(5)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059Command and Scripting Interpreterzugeordnet

„Ausführung von beliebigem Code“

T1486Data Encrypted for Impactzugeordnet

„Dateimanipulationen“

T1499Denial of Servicezugeordnet

„Denial-of-Service-Angriffe“

T1530Data from Cloud Storagezugeordnet

„Informationslecks“

T1562Impair Defenseszugeordnet

„Umgehen von Sicherheitsvorkehrungen“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[NEU] [hoch] rclone: Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-59733 CVE-2026-71312 CVE-2026-71313 CVE-2026-71311 CVE-2026-71310 CVE-2026-71309

Themen

hoch

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (6)

CVE-2026-59733HIGH(8.8)

EPSS 0.6%

Rclone is a command-line program to sync files and directories to and from different cloud storage providers. Prior to 1.74.4, rclone serve restic --private-repos enforces authorization using the routed user path segment while building the backend object key from the raw uncleaned URL path, allowing an authenticated user to include .. in a request such as //..//config and read, overwrite, or delete another user's private repository on backends that clean path components. This issue is fixed in version 1.74.4.

Details NVD

CVE-2026-71312HIGH(8.0)

EPSS 0.5%

rclone is a command-line program to sync files and directories to and from different cloud storage providers. Prior to v1.75.0, rclone interpolates remote SFTP paths into PowerShell hash commands in backend/sftp/sftp.go, and quoteOrEscapeShellPath escapes only ASCII apostrophe even though PowerShell treats U+2018, U+2019, U+201A, and U+201B as single-quote delimiters, allowing an attacker-controlled filename to terminate the intended path literal and append PowerShell statements that execute as the victim SSH account when server-side hashing is invoked. This issue is fixed in v1.75.0.

Details NVD

CVE-2026-71313MEDIUM(6.9)

EPSS 0.3%

rclone is a command-line program to sync files and directories to and from different cloud storage providers. From v1.51.0 until v1.75.0, the local backend in backend/local/local.go relies on the configurable filename encoder to prevent remote filename data from becoming operating-system path syntax, so a local destination using Slash, None, Raw, or on Windows an encoding that preserves backslash can decode a standard-encoded fullwidth dot-dot component or native backslash form into an actual parent-directory component before filepath.Join resolves it outside the configured local root, allowing an attacker-controlled source object to create or overwrite files outside the selected destination directory as the rclone process. This issue is fixed in v1.75.0.

Details NVD

CVE-2026-71311MEDIUM(6.4)

EPSS 0.4%

rclone is a command-line program to sync files and directories to and from different cloud storage providers. Prior to 1.75.0, a valid but nondefault FTP filename encoding in backend/ftp/ftp.go can restore raw CR/LF immediately before an attacker-controlled path is interpolated into the line-oriented FTP control channel, and github.com/jlaffaye/ftp formats the argument through textproto.Conn.Cmd without rejecting CR or LF, allowing a filename such as victim CRLF DELE other-secret CRLF NOOP to inject an independent authenticated FTP command when the victim copies or syncs to a more-privileged FTP destination. This issue is fixed in 1.75.0.

Details NVD

CVE-2026-71310MEDIUM(5.9)

EPSS 0.6%

rclone is a command-line program to sync files and directories to and from different cloud storage providers. Prior to 1.75.0, the shared HTTP CONNECT helper in lib/proxy/http.go parses proxy CONNECT responses with http.ReadResponse over an unrestricted buffered reader, allowing a malicious or compromised configured proxy, or an active on-path actor controlling a plaintext HTTP proxy hop, to send oversized headers that grow memory until the rclone process fails. The affected helper is used by FTP and SFTP proxy connections, and SFTP reaches the parser before SSH server authentication, so target host key validation does not constrain a malicious proxy. This issue is fixed in 1.75.0.

Details NVD

CVE-2026-71309NONE

EPSS 0.5%

rclone is a command-line program to sync files and directories to and from different cloud storage providers. From 1.40.0 until 1.75.0, rclone serve restic does not correctly reject URL paths beginning with ../ in cmd/serve/restic/restic.go WithRemote, which accepts a leading parent path and passes it to GET, HEAD, POST, and DELETE handlers for configured backends including WebDAV, FTP, HTTP, Memory, and SFTP. An attacker who can access the REST endpoint may read, create, overwrite, or delete objects outside the path configured by the operator when the operator publishes a backend subdirectory and the backend credential can access parent or sibling objects. This issue is fixed in 1.75.0.

Details NVD

GitHub Advisories (6)

GHSA-fqj9-69pf-6pjg· CVE-2026-59733

github.com/rclone/rclone

rclone `serve restic --private-repos` authorization bypass: `..` in the URL path lets an authenticated user read, overwrite and delete other users' repositories

GHSA-45pq-889g-fcgh· CVE-2026-71309

github.com/rclone/rclone

rclone: Incomplete path validation allows backend root escape in serve restic

GHSA-xhf4-832v-7xcr· CVE-2026-71310

github.com/rclone/rclone

rclone: Unbounded HTTP CONNECT Response Headers Can Exhaust rclone Memory

GHSA-8c48-q9wj-3w37· CVE-2026-71311

github.com/rclone/rclone

rclone: FTP Command Arguments Permit CRLF Injection When Custom Encoding Preserves Newlines

GHSA-2m8m-jhrm-w6j2· CVE-2026-71312

github.com/rclone/rclone

rclone: PowerShell Smart-Quote Filename Injection Enables SFTP Server-Side Command Execution

GHSA-7p4m-qxvv-g567· CVE-2026-71313

github.com/rclone/rclone

rclone: Local Encoding Path Traversal