JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024403 Rcloneは、異なるクラウドストレージプロバイダー間でファイルやディレクトリを同期するためのコマンドラインプログラムです。バージョン1.74.4以前では、-l/--linksオプションを使用すると、rcloneはシンボリックリンクを.rclonelinkというテキストオブジェクトとしてシリアライズし、ターゲットの検証を行わずにローカルの宛先に再作成します。そのため、攻撃者が制御するリモートに逃げ道となるシンボリックリンクを設置し、その後のオブジェクト書き込みが攻撃者の選んだ内容で宛先外に配置される可能性があります。この問題はバージョン1.74.4で修正されています。 cpe:/a:rclone:rclone https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024403.html Common Vulnerabilities and Exposures (CVE) CVE-2026-54572 https://www.cve.org/CVERecord?id=CVE-2026-54572 National Vulnerability Database (NVD) CVE-2026-54572 https://nvd.nist.gov/vuln/detail/CVE-2026-54572 GitHub Unvalidated symlink target in rclone local `--links` — arbitrary file write from an untrusted remote Advisory rclone/rclone GitHub https://github.com/rclone/rclone/security/advisories/GHSA-cf44-9pgv-m4xc JVNDB CWE-59 https://jvndb.jvn.jp/ja/cwe/CWE-59.html 関連文書 local: stop --links symlinks escaping the destination directory CVE-2… rclone/rclone@1154afe GitHub https://github.com/rclone/rclone/commit/1154afebee986180b489084d38e2a0c578751498 関連文書 local: stop --links symlinks escaping the destination directory CVE-2… rclone/rclone@874a804 GitHub https://github.com/rclone/rclone/commit/874a804f5289517defdd7de68b2a374837080265 関連文書 Release rclone v1.74.4 rclone/rclone GitHub https://github.com/rclone/rclone/releases/tag/v1.74.4 2026-07-21T10:43:01+09:00 2026-07-21T10:43:01+09:00