CVE-2026-58273

WysokieCVSS 8.1

Opublikowano: 05/11/2026(UTC)Zaktualizowano: 06/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.56%

Percentyl 47 - wyżej niż 47% wszystkich znanych CVE

Streszczenie

W frameworku Rucio endpoint /credentials/signurl odczytuje nagłówek X-Rucio-Account zamiast konta uwierzytelnionego tokenem. Uwierzytelniony użytkownik o niskich uprawnieniach może podać wartość root i przejść kontrolę uprawnień get_signed_url, uzyskując presigned URL do odczytu, zapisu lub usunięcia wybranego obiektu oraz dostęp do innego tenanta w środowiskach wielo-VO.

Ocena ryzyka

Może to prowadzić do ujawnienia, modyfikacji lub usunięcia danych oraz dostępu między tenantami w magazynach RSE opartych na chmurze. Ryzyko dotyczy wszystkich uwierzytelnionych użytkowników o niskich uprawnieniach.

Rekomendacja

Zaktualizuj Rucio do wersji 35.9.0, 38.6.0 lub 41.0.0rc1 bądź nowszej. Sprawdź logi dostępu do endpointu /credentials/signurl pod kątem podejrzanych nagłówków X-Rucio-Account.

Inne podatności w Rucio

CVE-2026-29090Wysokie
W wersjach Rucio od 1.30.0 do 35.8.5, 38.5.5, 39.4.2 i 40.1.1 występuje podatność na wstrzyknięcie SQL w funkcji `FilterEngine.create_postgres_query()`. Umożliwia to uwierzytelnionym użytkownikom Rucio wykonywanie dowolnych zapytań SQL przeciwko bazie danych PostgreSQL poprzez punkt końcowy wyszukiwania DID.

Oryginalny opis (angielski, źródło NVD)

Rucio is a scientific data management framework. From 1.16.1 until 35.9.0, 38.6.0, and 41.0.0rc1, the /credentials/signurl endpoint reads X-Rucio-Account instead of the account stored in request.environ['issuer'] by token authentication. Any authenticated low-privilege user can supply root as the header value and pass the root-only get_signed_url permission check. The server then returns a presigned read, write, or delete URL for an attacker-selected object using stored S3, GCS, or Swift credentials, and X-Rucio-VO can select another tenant in multi-VO deployments. This permits data disclosure, modification, deletion, and cross-tenant access on cloud-backed RSEs. This issue is fixed in versions 35.9.0, 38.6.0, and 41.0.0rc1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS