CVE-2026-72920
KrytyczneCVSS 9.8Streszczenie
SeaweedFS przed wersją 4.24 rejestruje usługę gRPC SeaweedIdentityAccessManagement bez obowiązkowego uwierzytelnienia, gdy klucz jwt.filer_signing.key nie jest ustawiony. Pozwala to każdemu klientowi z dostępem do portu gRPC na tworzenie użytkowników i kluczy dostępu, co daje kontrolę administracyjną nad S3.
Ocena ryzyka
Nieautoryzowany atakujący może uzyskać pełną kontrolę nad usługą S3, tworząc własne poświadczenia i zarządzając politykami, co prowadzi do naruszenia danych.
Rekomendacja
Zaktualizuj SeaweedFS do wersji 4.24 lub nowszej. Ustaw klucz jwt.filer_signing.key i ogranicz dostęp do portu gRPC filera.
Oryginalny opis (angielski, źródło NVD)
SeaweedFS is a distributed storage system. Prior to 4.24, the filer registers the SeaweedIdentityAccessManagement gRPC service without mandatory authentication when jwt.filer_signing.key is unset, allowing any client that can reach the filer gRPC port to invoke CreateUser, CreateAccessKey, PutPolicy, and related IAM RPCs to mint credentials and gain S3 administrative control. This issue is fixed in versions 4.24.