远程主机上安装的 rclone 版本低于 1.55.1-1。因此，该软件受到 ALAS2-2026-3285 公告中提及的多个漏洞影响。

    Rclone 是一个命令行程序，用于与不同的云存储提供商同步文件和目录。RC 端点 `options/set` 在未启用 `AuthRequired: true` 的情况下被暴露，但它可改变全局运行时配置，包括 RC 选项区块本身。在 1.45.0 至 1.73.5 版本中，未经身份验证的攻击者可设置 `rc.NoAuth=true`，从而禁用可访问 RC 服务器上注册为 `AuthRequired: true` 的许多 RC 方法的授权网关，而这些服务器未执行全局 HTTP 身份验证即启动。这可导致在未经授权的情况下访问敏感的管理功能，包括配置和操作层面的 RC 方法。版本 1.73.5 修补了该问题。
    (CVE-2026-41176)

    Rclone 是一个命令行程序，用于与不同的云存储提供商同步文件和目录。在 1.48.0 至 1.73.5 版本中，RC 端点 `operations/fsinfo` 在未启用 `AuthRequired: true` 的情况下被暴露，并接受由攻击者控制的 `fs` 输入。由于 `rc.GetFs(...)` 支持内联后端定义，因此未经身份验证的攻击者可根据需要实例化由攻击者控制的后端。对于 WebDAV 后端，系统会在执行后端初始化期间执行 `bearer_token_command`，这可能导致在未进行全局 HTTP 身份验证的前提下，在可访问 RC 部署上执行单一请求未经身份验证的命令执行操作。版本 1.73.5 针对此问题提供了补丁。(CVE-2026-41179)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Rclone 是一个命令行程序，用于与不同的云存储提供商同步文件和目录。RC 端点 `options/set` 在未启用 `AuthRequired: true` 的情况下被暴露，但它可改变全局运行时配置，包括 RC 选项区块本身。在 1.45.0 至 1.73.5 版本中，未经身份验证的攻击者可设置 `rc.NoAuth=true`，从而禁用可访问 RC 服务器上注册为 `AuthRequired: true` 的许多 RC 方法的授权网关，而这些服务器未执行全局 HTTP 身份验证即启动。这可导致在未经授权的情况下访问敏感的管理功能，包括配置和操作层面的 RC 方法。版本 1.73.5 修补了该问题。
    (CVE-2026-41176)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 Rclone 版本为 1.73.5 之前的 1.45.x。因此，它会受到身份验证绕过漏洞的影响：

  - RC 端点 options/set 在未启用 AuthRequired 的情况下被暴露，但它可改变全局运行时配置，包括 RC 选项区块本身。未经身份验证的攻击者可设置 rc.NoAuth=true，从而禁用可访问 RC 服务器上许多 RC 方法的授权网关，而这些服务器未执行全局 HTTP 身份验证即启动。这可导致敏感管理功能遭到未经授权的访问。(CVE-2026-41176)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS/25.10/26.04 LTS 主机上安装的多个程序包受到 USN-8299-1 公告中提及的多个漏洞影响。

    发现 Rclone 未正确处理远程控制 API 中的授权。攻击者可能会利用此问题获取敏感信息。(CVE-2026-41176)

    发现 Rclone 未正确通过远程控制 API 处理后端实例化。攻击者可能利用此问题执行任意代码。此问题仅影响 Ubuntu 24.04 LTS、Ubuntu 25.10 和 Ubuntu 26.04 LTS。(CVE-2026-41179)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1658 公告中提及的多个漏洞影响。

    Rclone 是一个命令行程序，用于与不同的云存储提供商同步文件和目录。RC 端点 `options/set` 在未启用 `AuthRequired: true` 的情况下被暴露，但它可改变全局运行时配置，包括 RC 选项区块本身。在 1.45.0 至 1.73.5 版本中，未经身份验证的攻击者可设置 `rc.NoAuth=true`，从而禁用可访问 RC 服务器上注册为 `AuthRequired: true` 的许多 RC 方法的授权网关，而这些服务器未执行全局 HTTP 身份验证即启动。这可导致在未经授权的情况下访问敏感的管理功能，包括配置和操作层面的 RC 方法。版本 1.73.5 修补了该问题。
    (CVE-2026-41176)

    Rclone 是一个命令行程序，用于与不同的云存储提供商同步文件和目录。在 1.48.0 至 1.73.5 版本中，RC 端点 `operations/fsinfo` 在未启用 `AuthRequired: true` 的情况下被暴露，并接受由攻击者控制的 `fs` 输入。由于 `rc.GetFs(...)` 支持内联后端定义，因此未经身份验证的攻击者可根据需要实例化由攻击者控制的后端。对于 WebDAV 后端，系统会在执行后端初始化期间执行 `bearer_token_command`，这可能导致在未进行全局 HTTP 身份验证的前提下，在可访问 RC 部署上执行单一请求未经身份验证的命令执行操作。版本 1.73.5 针对此问题提供了补丁。(CVE-2026-41179)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
314577	Amazon Linux 2：rclone，--advisory ALAS2-2026-3285 (ALAS-2026-3285)	Nessus	Amazon Linux Local Security Checks	2026/5/14	2026/5/27	critical
309983	Linux Distros 未修补的漏洞：CVE-2026-41176	Nessus	Misc.	2026/4/23	2026/7/26	critical
310056	Rclone 1.45.x < 1.73.5 身份验证绕过 (CVE-2026-41176)	Nessus	Misc.	2026/4/24	2026/4/28	critical
316887	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10 LTS/ 26.04 LTS：Rclone 漏洞 (USN-8299-1)	Nessus	Ubuntu Local Security Checks	2026/5/27	2026/5/27	critical
315635	Amazon Linux 2023：rclone (ALAS2023-2026-1658)	Nessus	Amazon Linux Local Security Checks	2026/5/20	2026/5/20	critical

检测

插件搜索

critical

critical

critical

critical

critical