CVE-2026-45043
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W systemie RustFS przed wersją 1.0.0-beta.2 wykryto podatność w punkcie końcowym PUT /rustfs/admin/v3/import-iam. Brak odpowiedniej walidacji pozwala użytkownikowi z uprawnieniem ImportIAMAction na tworzenie kont usługowych z dowolną tożsamością nadrzędną, włącznie z rootem (minioadmin). Atakujący może ustawić własne dane uwierzytelniające, co prowadzi do eskalacji uprawnień do pełnego dostępu administracyjnego.
Ocena ryzyka
Organizacja narażona jest na przejęcie pełnej kontroli nad systemem przechowywania obiektów przez nieautoryzowanego użytkownika. Atakujący może uzyskać trwały dostęp administracyjny, co umożliwia kradzież, modyfikację lub usunięcie wszystkich danych.
Rekomendacja
Należy natychmiast zaktualizować RustFS do wersji 1.0.0-beta.2 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo ogranicz dostęp do punktu końcowego import-iam tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
RustFS is a distributed object storage system built in Rust. Prior to 1.0.0-beta.2, improper validation in the PUT /rustfs/admin/v3/import-iam endpoint allows a user with ImportIAMAction to create service accounts under arbitrary parent identities, including the root user (minioadmin). The endpoint accepts attacker-controlled parent, claims, accessKey, and secretKey values without enforcing privilege boundaries or sanitization. This enables privilege escalation to full administrative access using a persistent, attacker-defined credential. This vulnerability is fixed in 1.0.0-beta.2.