CVE-2026-77298 in SeaweedFS
Zusammenfassung
von VulDB • 27.08.2026
SeaweedFS ist ein verteiltes Speichersystem für Dateien und Blobs. In den Versionen 4.39 und früher akzeptiert die S3-API ein externes OIDC-JWT, das direkt im Authorization-Header gesendet wird, und ordnet es einer IAM-Rolle zu, ohne die Trust-Policy dieser Rolle durchzusetzen; daher kann ein federierter Benutzer eine Rolle annehmen, für die er nicht berechtigt ist. Der Standard-STSPfad AssumeRoleWithWebIdentity lehnt ein solches Token ab, wenn die Trust-Policy der Rolle den föderierten Anbieter des Tokens nicht vertraut, während der direkte S3-Bearer-Pfad nur das Token selbst validiert und sich dann als die zugeordnete Rolle authentifiziert sowie die angehängten S3-Berechtigungen dieser Rolle auswertet. Infolgedessen kann ein gültiger OIDC-Benutzer, dessen Token über STS für die Rolle abgelehnt würde, den S3-Zugriff der Rolle – einschließlich Lese-, Schreib- und Löschzugriffen auf Objekte – erlangen, indem er das rohe OIDC-JWT direkt an die S3-API vorlegt. Dieses Problem wurde in Version 4.40 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.