CVE-2026-79787
KrytyczneCVSS 9.8Streszczenie
Proxy REST S3 w Alluxio nie weryfikuje podpisów AWS Signature Version 4 w domyślnej konfiguracji, co pozwala nieuwierzytelnionym atakującym na podszywanie się pod tożsamość użytkownika. Atakujący mogą wyodrębnić nazwy użytkowników z niepodpisanych nagłówków Authorization i podszywać się pod dowolnego użytkownika, w tym konta usługowe, aby czytać, zapisywać i usuwać dowolne dane.
Ocena ryzyka
Brak weryfikacji podpisów umożliwia nieautoryzowany dostęp do danych, co może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Skonfiguruj Alluxio tak, aby wymagać weryfikacji podpisów AWS Signature Version 4. Ogranicz dostęp do proxy S3 i monitoruj logi pod kątem podejrzanych działań.
Oryginalny opis (angielski, źródło NVD)
Alluxio's S3 REST proxy fails to verify AWS Signature Version 4 signatures in its default configuration, allowing unauthenticated attackers to spoof user identity. Attackers can extract usernames from unsigned Authorization headers and impersonate any user, including service accounts, to read, write, and delete arbitrary data.