CVE-2026-39360
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
RustFS to rozproszony system przechowywania obiektów, w którym przed wersją alpha.90 brakuje autoryzacji w ścieżce kopiowania wieloczęściowego (UploadPartCopy). Użytkownik z niskimi uprawnieniami, który nie może odczytać obiektów z docelowego zasobnika, może skopiować obiekty ofiary do kontrolowanego przez atakującego przesyłania wieloczęściowego i zakończyć przesyłanie.
Ocena ryzyka
Narusza to izolację dzierżawców w środowiskach wieloużytkownikowych/wielodzierżawczych, umożliwiając wyciek danych między dzierżawcami.
Rekomendacja
Zaleca się natychmiastową aktualizację RustFS do wersji alpha.90 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
RustFS is a distributed object storage system built in Rust. Prior to alpha.90, RustFS contains a missing authorization check in the multipart copy path (UploadPartCopy). A low-privileged user who cannot read objects from a victim bucket can still exfiltrate victim objects by copying them into an attacker-controlled multipart upload and completing the upload. This breaks tenant isolation in multi-user / multi-tenant deployments. This vulnerability is fixed in alpha.90.