CVE-2026-55188
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 — wyżej niż 8% wszystkich znanych CVE
Streszczenie
W systemie RustFS w wersjach od 1.0.0-alpha.1 do 1.0.0-beta.9 wykryto pominięcie autoryzacji w API administracyjnym replikacji bucketów. Handler ListRemoteTargetHandler do wyświetlania zdalnych celów replikacji sprawdza jedynie istnienie poświadczeń żądania, ale nie weryfikuje, czy wywołujący ma uprawnienia replikacji lub administratora. W rezultacie uwierzytelniony użytkownik bez skutecznych uprawnień do bucketa lub administracji może wyświetlić konfigurację zdalnych celów replikacji dla bucketa.
Ocena ryzyka
Ryzyko polega na ujawnieniu kluczy dostępu i tajnych kluczy replikacji, ponieważ zwracane obiekty BucketTarget zawierają poświadczenia zdalnego celu. Może to prowadzić do nieautoryzowanego dostępu do danych lub ich wycieku.
Rekomendacja
Należy niezwłocznie zaktualizować RustFS do wersji 1.0.0-beta.9 lub nowszej, która zawiera poprawkę usuwającą tę lukę. Do czasu aktualizacji zaleca się ograniczenie dostępu do API administracyjnego replikacji tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
RustFS is a distributed object storage system built in Rust. From 1.0.0-alpha.1 until 1.0.0-beta.9, RustFS contains an authorization bypass in the bucket replication admin API. The ListRemoteTargetHandler handler for listing remote replication targets only checks whether request credentials exist, but does not verify that the caller has replication or administrator permissions. As a result, an authenticated user with no effective bucket or admin permissions can list remote replication target configuration for a bucket. Because the returned BucketTarget objects include remote target credentials, this can disclose replication access keys and secret keys. This vulnerability is fixed in 1.0.0-beta.9.