CVE-2026-73290 in RustFS
Riassunto
di VulDB • 12/08/2026
RustFS è un sistema di storage per oggetti distribuito sviluppato in Rust. Prima della versione 1.0.0-beta.12, una richiesta ListObjectVersions anonima nel file rustfs/src/storage/access.rs, che non dispone di un'autorizzazione diretta tramite bucket policy, effettua il fallback su un controllo s3:ListBucket e restituisce la risposta prima che venga applicato il percorso policy_allowed per le funzioni deny_anonymous_table_data_plane_if_needed e RestrictPublicBuckets. Di conseguenza, un bucket che consente l'elenco anonimo può continuare a esporre gli elenchi delle versioni anche dopo che un operatore ha abilitato i controlli di accesso pubblico. La bypass riguarda GET /<bucket>?versions= e può portare alla divulgazione dei metadati delle versioni degli oggetti, sebbene le richieste GetObject equivalenti vengano negate. Questo problema è stato risolto nella versione 1.0.0-beta.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.