一、 漏洞 CVE-2024-52522 基础信息
漏洞标题
Rclone软件包中存在符号链接目标处理不当漏洞
来源：AIGC 神龙大模型
漏洞描述信息
Rclone是一款用于在不同云存储提供商之间同步文件和目录的命令行程序。在将文件复制到本地磁盘时，Rclone对--links和--metadata参数下的符号链接处理存在不安全的问题，允许无权限用户在超级用户或特权进程执行复制操作时间接修改符号链接目标文件的所有权和权限。此漏洞可能导致权限提升和未经授权访问关键系统文件，从而危及系统的完整性、保密性和可用性。此漏洞在1.68.2版本中已得到修复。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
来源：AIGC 神龙大模型
漏洞类别
在文件访问前对链接解析不恰当(链接跟随)
来源：AIGC 神龙大模型
漏洞标题
Rclone Improper Permission and Ownership Handling on Symlink Targets with --links and --metadata
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Rclone is a command-line program to sync files and directories to and from different cloud storage providers. Insecure handling of symlinks with --links and --metadata in rclone while copying to local disk allows unprivileged users to indirectly modify ownership and permissions on symlink target files when a superuser or privileged process performs a copy. This vulnerability could enable privilege escalation and unauthorized access to critical system files, compromising system integrity, confidentiality, and availability. This vulnerability is fixed in 1.68.2.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
在文件访问前对链接解析不恰当(链接跟随)
来源：美国国家漏洞数据库 NVD
漏洞标题
Rclone 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Rclone是Rclone团队的一个可以从云存储异步同步数据的软件。该软件支持 Google Drive, Amazon Drive, S3, Dropbox, Backblaze B2, One Drive, Swift, Hubic, Cloudfiles, Google Cloud Storage, Yandex Files等云存储。 Rclone存在安全漏洞，该漏洞源于对符号链接的 --links 和 --metadata 处理不安全。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-52522 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-52522 的情报信息

  • 标题： Improper Permission and Ownership Handling on Symlink Targets with --links and --metadata · Advisory · rclone/rclone · GitHub -- 🔗来源链接

    标签： x_refsource_CONFIRM

    神龙速读
    Improper Permission and Ownership Handling on Symlink Targets with --links and --metadata · Advisory · rclone/rclone · GitHub

  • 标题： local: fix permission and ownership on symlinks with --links and --me… · rclone/rclone@01ccf20 · GitHub -- 🔗来源链接

    标签： x_refsource_MISC

    local: fix permission and ownership on symlinks with --links and --me… · rclone/rclone@01ccf20 · GitHub
  • https://nvd.nist.gov/vuln/detail/CVE-2024-52522