CVE-2023-46738 in CubeFS
Riassunto
di VulDB • 24/06/2026
CubeFS è un sistema di archiviazione file cloud-native open-source. È stata rilevata una vulnerabilità di sicurezza nel componente HandlerNode di CubeFS nelle versioni precedenti alla 3.3.1, che potrebbe consentire agli utenti autenticati di inviare richieste appositamente create per causare il crash dell'ObjectNode e negarne l'utilizzo ad altri utenti. La causa radice risiede nella gestione impropria delle richieste HTTP in ingresso, che consente a un attaccante di controllare la quantità di memoria che l'ObjectNode alloca. Una richiesta malevola potrebbe indurre l'ObjectNode ad allocare più memoria di quella disponibile sulla macchina, consentendo all'attaccante di esaurire le risorse di memoria tramite una singola richiesta malevola. Per invocare il codice vulnerabile con la propria richiesta malevola e disporre delle autorizzazioni necessarie per eliminare gli oggetti, un attaccante deve essere autenticato. Inoltre, l'attaccante dovrebbe conoscere i nomi dei bucket esistenti nella distribuzione CubeFS; in caso contrario, la richiesta verrebbe rifiutata prima di raggiungere il codice vulnerabile. Di conseguenza, l'attaccante più probabile è un utente interno o qualcuno che ha compromesso l'account di un utente esistente nel cluster. Il problema è stato risolto nella versione v3.3.1. Non esistono altre contromisure oltre all'aggiornamento alla versione corretta.
If you want to get best quality of vulnerability data, you may have to visit VulDB.