CVE-2025-68926
KrytyczneStreszczenie
RustFS to rozproszony system przechowywania obiektów napisany w Rust. W wersjach przed 1.0.0-alpha.78 RustFS implementuje uwierzytelnianie gRPC przy użyciu zakodowanego na stałe tokenu `"rustfs rpc"`, który jest publicznie dostępny w repozytorium kodu źródłowego, zakodowany po stronie klienta i serwera, niekonfigurowalny i uniwersalnie ważny we wszystkich wdrożeniach RustFS. Każdy atakujący z dostępem sieciowym do portu gRPC może uwierzytelnić się tym publicznie znanym tokenem i wykonywać uprzywilejowane operacje, w tym niszczenie danych, manipulację politykami i zmiany konfiguracji klastra. Wersja 1.0.0-alpha.78 zawiera poprawkę.
Ocena ryzyka
Ryzyko dla organizacji to możliwość pełnego przejęcia kontroli nad klastrem RustFS przez nieautoryzowanego atakującego, co może prowadzić do utraty danych, naruszenia integralności i zakłócenia działania usług.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie RustFS do wersji 1.0.0-alpha.78 lub nowszej oraz wdrożenie mechanizmów kontroli dostępu do portu gRPC.
Oryginalny opis (angielski, źródło NVD)
RustFS is a distributed object storage system built in Rust. In versions prior to 1.0.0-alpha.78, RustFS implements gRPC authentication using a hardcoded static token `"rustfs rpc"` that is publicly exposed in the source code repository, hardcoded on both client and server sides, non-configurable with no mechanism for token rotation, and universally valid across all RustFS deployments. Any attacker with network access to the gRPC port can authenticate using this publicly known token and execute privileged operations including data destruction, policy manipulation, and cluster configuration changes. Version 1.0.0-alpha.78 contains a fix for the issue.