Descripción
RClone Manager es una aplicación con interfaz gráfica multiplataforma diseñada para ayudar a los usuarios a gestionar remotos de Rclone de forma eficiente. En versiones anteriores a 0.2.7, RClone Manager inicia el servicio local rclone rcd en 127.0.0.1:51900 con --rc-no-auth, --rc-allow-origin * y --rc-serve. Por lo tanto, una página web maliciosa abierta por un usuario mientras el daemon está en ejecución puede enviar solicitudes de origen cruzado a la API local no autenticada con los privilegios del sistema operativo del usuario. Las solicitudes pueden divulgar credenciales de almacenamiento configuradas y potencialmente acceder, cargar, modificar o exfiltrar archivos almacenados localmente a los que el usuario tiene acceso, así como archivos disponibles a través de los remotos configurados; el posible impacto de ejecución de comandos mencionado en el aviso de seguridad sigue sin confirmarse. Este problema está corregido en la versión 0.2.7.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- rclone-manager Afectadas: < 0.2.7
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/Zarestia-Dev/rclone-manager/security/advisories/GHSA-f3qj-…
- Referencia en github.comgithub.com/Zarestia-Dev/rclone-manager/commit/daa379498fc1aac453bcf18…
- Referencia en github.comgithub.com/Zarestia-Dev/rclone-manager/releases/tag/v0.2.7
Ver el texto original en inglés (CVE.org)
RClone Manager: Unauthenticated RClone Daemon Enables Remote Attack via Malicious Web Page
RClone Manager is a cross-platform GUI application designed to help users manage Rclone remotes efficiently. Prior to 0.2.7, RClone Manager starts the local rclone rcd service on 127.0.0.1:51900 with --rc-no-auth, --rc-allow-origin *, and --rc-serve. A malicious web page opened by a user while the daemon is running can therefore send cross-origin requests to the unauthenticated local API with the user's operating-system privileges. The requests can disclose configured storage credentials and potentially access, upload, modify, or exfiltrate locally stored files accessible to the user and files available through configured remotes; the advisory's possible command-execution impact remains unconfirmed. This issue is fixed in version 0.2.7.