CVE-2026-73080 in SeaweedFS
Zusammenfassung
von VulDB • 11.08.2026
SeaweedFS ist ein verteiltes Speichersystem. Vor Version 4.24 ruft `VolumeServer.FetchAndWriteNeedle` in `weed/server/volume_grpc_remote.go` einen vom Aufrufer angegebenen Remote-Endpunkt über `weed/remote_storage/s3/s3_storage_client.go` ab und schreibt die Antwort in eine Nadel (Needle). Die RPC-Schnittstelle führt keine Authentifizierung durch und validiert das Ziel nicht, sodass jeder, der den gRPC-Port eines Volume Servers erreichen kann, Anfragen an beliebige Hosts – einschließlich Loopback-, Link-Lokal-, RFC 1918-Adressen sowie Cloud-Metadaten-Endpunkte wie `169.254.169.254` – senden und die Antwort lesen kann. Bei Bereitstellungen in der Cloud können dadurch Instanzmetadaten und IAM-Anmeldeinformationen offengelegt sowie ansonsten nicht exponierte interne Dienste erreicht werden. Die gRPC-Ebene des Volume Servers ist standardmäßig unauthentifiziert, und das Konfigurieren dokumentierter JWT-Signierschlüssel schützt diese RPC-Schnittstelle nicht. Dieses Problem wurde in Version 4.24 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.