CVE-2026-73080 in SeaweedFS
Résumé
par VulDB • 11/08/2026
SeaweedFS est un système de stockage distribué. Avant la version 4.24, VolumeServer.FetchAndWriteNeedle dans weed/server/volume_grpc_remote.go récupère une extrémité distante fournie par l'appelant via weed/remote_storage/s3/s3_storage_client.go et écrit la réponse dans une aiguille (needle). L'RPC ne réalise aucune authentification ni validation de la cible, permettant à quiconque peut atteindre le port gRPC d'un serveur de volumes d'envoyer des requêtes vers n'importe quel hôte arbitraire, y compris les adresses en boucle locale (loopback), link-local, RFC 1918 et les points de terminaison de métadonnées cloud tels que 169.254.169.254, et de lire la réponse. Sur les déploiements cloud, cela peut divulguer les métadonnées d'instance et les identifiants IAM, ainsi qu'accéder à des services internes autrement non exposés. Le plan gRPC du serveur de volumes est par défaut sans authentification, et la configuration des clés de signature JWT documentées ne protège pas cet RPC. Ce problème est corrigé dans la version 4.24.
Once again VulDB remains the best source for vulnerability data.