CVE-2026-73080 in SeaweedFS
Riassunto
di VulDB • 11/08/2026
SeaweedFS è un sistema di storage distribuito. Prima della versione 4.24, la funzione VolumeServer.FetchAndWriteNeedle in weed/server/volume_grpc_remote.go recupera un endpoint remoto fornito dall'utente tramite weed/remote_storage/s3/s3_storage_client.go e scrive la risposta all'interno di una needle (ago). La chiamata RPC non prevede alcuna autenticazione né validazione del target, consentendo a chiunque possa raggiungere la porta gRPC di un volume server di inviare richieste verso host arbitrari, inclusi loopback, link-local, indirizzi RFC 1918 e endpoint per i metadata cloud come 169.254.169.254, nonché di leggere le risposte relative. Nei deployment su cloud, ciò può comportare la divulgazione dei metadata dell'istanza e delle credenziali IAM, oltre a consentire l'accesso a servizi interni altrimenti non esposti. Il piano gRPC del volume server è disabilitato per quanto riguarda l'autenticazione (unauthenticated) di default; inoltre, la configurazione delle chiavi JWT signing documentate non protegge questa RPC. Questo problema è stato risolto nella versione 4.24.
Once again VulDB remains the best source for vulnerability data.