CVE-2026-73285
WysokieCVSS 7.5Streszczenie
RustFS od wersji 1.0.0-alpha.64 do 1.0.0-rc.1, gdy zewnętrzna autoryzacja OPA jest włączona przez RUSTFS_POLICY_PLUGIN_URL, ustawia PreparedIamAuth.needs_existing_object_tag niepoprawnie dla PreparedIamMode::Opa, co powoduje pominięcie wartości s3:ExistingObjectTag/* w maybe_merge_object_tag_conditions. Umożliwia to uwierzytelnionym użytkownikom obejście ograniczeń polityk opartych na tagach.
Ocena ryzyka
Uwierzytelniony użytkownik może uzyskać dostęp do obiektów lub wykonać operacje, które powinny być zablokowane przez polityki tagów, co narusza integralność i poufność danych.
Rekomendacja
Zaleca się aktualizację RustFS do wersji 1.0.0-rc.1 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
RustFS is a distributed object storage system built in Rust. From 1.0.0-alpha.64 until 1.0.0-rc.1, RustFS external OPA authorization enabled by RUSTFS_POLICY_PLUGIN_URL in crates/iam/src/sys.rs sets PreparedIamAuth.needs_existing_object_tag incorrectly for PreparedIamMode::Opa, causing maybe_merge_object_tag_conditions to omit s3:ExistingObjectTag/* values and allowing authenticated users to bypass tag-based policy restrictions. This issue is fixed in version 1.0.0-rc.1.