CVE-2026-100413 in SeaweedFS
要約
〜によって VulDB • 2026年10月14日
SeaweedFSは、ファイルおよびblob用の分散ストレージシステムです。バージョン4.0.388から4.41まで、SFTP Helmチャートには `k8s/charts/seaweedfs/templates/sftp/sftp-secret.yaml` の `stringData.seaweedfs_sftp_ssh_private_key` として暗号化されていないEd25519のホスト秘密鍵が埋め込まれていました。スタンドアロンデプロイメントでは、`sftp.enabled` および `sftp.enableAuth` が true であり、`sftp.existingConfigSecret` が指定されておらず、レガシーな `sftp.sshPrivateKey` パスが選択されており、有効な config-ssh Secret によって起動が許可され、かつ hostKeysFolder に後続の Ed25519署名者が提供されていない場合、公開されたホストIDを信頼するクライアントに対してそのSFTPエンドポイントをなりすますことが可能でした。これにより、攻撃者はパスワード認証情報や不正なエンドポイントに送信されるデータを暴露することができました。デフォルトのアロインワンおよび非認証のスタンドアロンパスでは鍵は読み込まれませんでした。この問題はバージョン4.41で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.