したがって、ALAS2023-2026-1658 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Rclone は、異なるクラウドストレージプロバイダーとの間でファイルとディレクトリを同期するためのコマンドラインプログラムです。RC エンドポイントの「オプション/セット」は、「AuthRequired: true」なしで公開されていますが、RC オプションブロック自体を含むグローバルランタイム構成が変化する可能性があります。バージョン 1.45.0～1.73.5 では、認証されていない攻撃者が「rc.NoAuth=true」を設定することで、グローバル HTTP 認証なしで起動された到達可能な RC サーバー上で、「AuthRequired: true」として登録されている多くの RC メソッドの認証ゲートを無効にできます。これは、設定および運用上の RC メソッドを含む、機密性の高い管理機能への不正アクセスにつながる可能性があります。バージョン 1.73.5 では、この問題は修正されています。
    (CVE-2026-41176)

    Rclone は、異なるクラウドストレージプロバイダーとの間でファイルとディレクトリを同期するためのコマンドラインプログラムです。- バージョン 1.48.0～1.73.5 では、RC エンドポイントの「Operations/fsinfo」が「AuthRequired: true」なしで漏洩し、攻撃者が制御する「fs」入力を受け入れます。「rc.GetFs(...)」はインラインバックエンド定義をサポートするため、認証されていない攻撃者は、攻撃者が制御するバックエンドをオンデマンドでインスタンス化する可能性があります。WebDAV バックエンドの場合、「bearer_token_command」はバックエンド初期化中に実行されるため、グローバル HTTP 認証なしで到達可能な RC 展開で、シングルリクエストの非認証ローカルコマンドの実行が可能になります。バージョン 1.73.5 はこの問題を修正します。(CVE-2026-41179)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-2290b9a9ad のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    0.19.0 に更新してください

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Rclone は、異なるクラウドストレージプロバイダーとの間でファイルとディレクトリを同期するためのコマンドラインプログラムです。- バージョン 1.48.0～1.73.5 では、RC エンドポイントの「Operations/fsinfo」が「AuthRequired: true」なしで漏洩し、攻撃者が制御する「fs」入力を受け入れます。「rc.GetFs(...)」はインラインバックエンド定義をサポートするため、認証されていない攻撃者は、攻撃者が制御するバックエンドをオンデマンドでインスタンス化する可能性があります。WebDAV バックエンドの場合、「bearer_token_command」はバックエンド初期化中に実行されるため、グローバル HTTP 認証なしで到達可能な RC 展開で、シングルリクエストの非認証ローカルコマンドの実行が可能になります。バージョン 1.73.5 はこの問題を修正します。(CVE-2026-41179)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-63341da831 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    1.74.0 に更新してください

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-e6094447f0 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    0.19.0 に更新してください

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている rclone のバージョンは、1.55.1-1 より前です。したがって、ALAS2-2026-3285 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Rclone は、異なるクラウドストレージプロバイダーとの間でファイルとディレクトリを同期するためのコマンドラインプログラムです。RC エンドポイントの「オプション/セット」は、「AuthRequired: true」なしで公開されていますが、RC オプションブロック自体を含むグローバルランタイム構成が変化する可能性があります。バージョン 1.45.0～1.73.5 では、認証されていない攻撃者が「rc.NoAuth=true」を設定することで、グローバル HTTP 認証なしで起動された到達可能な RC サーバー上で、「AuthRequired: true」として登録されている多くの RC メソッドの認証ゲートを無効にできます。これは、設定および運用上の RC メソッドを含む、機密性の高い管理機能への不正アクセスにつながる可能性があります。バージョン 1.73.5 では、この問題は修正されています。
    (CVE-2026-41176)

    Rclone は、異なるクラウドストレージプロバイダーとの間でファイルとディレクトリを同期するためのコマンドラインプログラムです。- バージョン 1.48.0～1.73.5 では、RC エンドポイントの「Operations/fsinfo」が「AuthRequired: true」なしで漏洩し、攻撃者が制御する「fs」入力を受け入れます。「rc.GetFs(...)」はインラインバックエンド定義をサポートするため、認証されていない攻撃者は、攻撃者が制御するバックエンドをオンデマンドでインスタンス化する可能性があります。WebDAV バックエンドの場合、「bearer_token_command」はバックエンド初期化中に実行されるため、グローバル HTTP 認証なしで到達可能な RC 展開で、シングルリクエストの非認証ローカルコマンドの実行が可能になります。バージョン 1.73.5 はこの問題を修正します。(CVE-2026-41179)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10 / 26.04 LTS ホストには、USN-8299-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Rclone がリモートコントロール API の承認を不適切に処理していることが判明しました。攻撃者がこの問題を悪用して、秘密情報を取得する可能性があります。(CVE-2026-41176)

    Rclone がリモートコントロール API でバックエンドのインスタンス化を不適切に処理していることが判明しました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。この問題は、Ubuntu 24.04 LTS、Ubuntu 25.10 LTS、およびUbuntu 26.04 LTS にのみ影響を与えます。(CVE-2026-41179)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Rclone のバージョンは、1.73.5 より前の 1.48.x です。このため、コマンドインジェクションの脆弱性による影響を受けます。

  - RC エンドポイントの Operations/fsinfo が AuthRequired なしで漏洩し、攻撃者が制御する fs 入力を受け入れます。rc.GetFs はインラインバックエンド定義をサポートするため、認証されていない攻撃者は、攻撃者が制御するバックエンドをオンデマンドでインスタンス化する可能性があります。WebDAV バックエンドの場合、bearer_token_command はバックエンド初期化中に実行されるため、グローバル HTTP 認証なしで到達可能な RC 展開で、シングルリクエストの非認証コマンドの実行が可能になります。(CVE-2026-41179)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-2bb2aee489 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    1.74.0 に更新してください


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
315635	Amazon Linux 2023 : rclone (ALAS2023-2026-1658)	Nessus	Amazon Linux Local Security Checks	2026/5/20	2026/5/20	critical
321671	Fedora 44 : restic (2026-2290b9a9ad)	Nessus	Fedora Local Security Checks	2026/6/20	2026/6/20	critical
329722	openSUSE 16 セキュリティ更新 : rclone (openSUSE-SU-2026:21436-1)	Nessus	SuSE Local Security Checks	2026/7/25	2026/8/14	critical
309982	Linux Distros のパッチ未適用の脆弱性: CVE-2026-41179	Nessus	Misc.	2026/4/23	2026/7/26	critical
313720	Fedora 44 : rclone (2026-63341da831)	Nessus	Fedora Local Security Checks	2026/5/10	2026/5/27	critical
321749	Fedora 43 : restic (2026-e6094447f0)	Nessus	Fedora Local Security Checks	2026/6/20	2026/6/20	critical
314577	Amazon Linux 2 : rclone、--advisory ALAS2-2026-3285 (ALAS-2026-3285)	Nessus	Amazon Linux Local Security Checks	2026/5/14	2026/5/27	critical
316887	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10 / 26.04 LTS : Rclone の脆弱性 (USN-8299-1)	Nessus	Ubuntu Local Security Checks	2026/5/27	2026/5/27	critical
310055	Rclone 1.48.x < 1.73.5 のコマンドインジェクション (CVE-2026-41179)	Nessus	Misc.	2026/4/24	2026/4/28	critical
310201	openSUSE 16 セキュリティ更新 : rclone (openSUSE-SU-2026:20620-1)	Nessus	SuSE Local Security Checks	2026/4/25	2026/4/28	critical
313735	Fedora 43 : rclone (2026-2bb2aee489)	Nessus	Fedora Local Security Checks	2026/5/10	2026/5/27	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical