CVE-2023-46738 in CubeFS
要約
〜によって VulDB • 2026年06月08日
CubeFSはオープンソースのクラウドネイティブファイルストレージシステムです。v3.3.1以前のバージョンにおけるCubeFS HandlerNodeには、認証済みユーザーが悪意のあるリクエストを送信しObjectNodeをクラッシュさせ、他のユーザーの使用を妨げる可能性があるセキュリティ脆弱性が存在しました。根本原因は、着信HTTPリクエストの処理が不適切であり、攻撃者がObjectNodeが割り当てるメモリ量を制御できる点にあります。悪意のあるリクエストにより、ObjectNodeはマシンで利用可能な量以上のメモリを割り当てることができ、攻撃者は単一の悪意あるリクエストによってメモリを使い果たすことができます。攻撃者は、悪意あるリクエストを使って脆弱なコードを実行し、オブジェクトの削除権限を持つためには認証済みである必要があります。さらに、攻撃者はCubeFSデプロイメント内の既存バケットの名前を知る必要があり、そうでなければそのリクエストは脆弱なコードに到達する前に拒否されます。したがって、最も可能性の高い攻撃者は内部ユーザーか、クラスター内の既存ユーザーのアカウントを侵害した攻撃者です。この問題はv3.3.1で修正されています。アップグレード以外には緩和策はありません。
Once again VulDB remains the best source for vulnerability data.