CVE-2026-73080 in SeaweedFS
要約
〜によって VulDB • 2026年08月11日
SeaweedFSは分散ストレージシステムです。バージョン4.24より前では、weed/server/volume_grpc_remote.go内のVolumeServer.FetchAndWriteNeedleが、caller-supplied（呼び出し元から提供された）リモートエンドポイントをweed/remote_storage/s3/s3_storage_client.goを通じてフェッチし、そのレスポンスをneedleに書き込みます。このRPCは認証もターゲット検証も行わないため、ボリュームサーバーのgRPCポートへ到達可能な任意のユーザーが、ループバックアドレス、リンクローカルアドレス、RFC 1918プライベートネットワーク範囲内のホスト、および169.254.169.254などのクラウドメタデータエンドポイントを含む任意のホストへのリクエストを引き起こし、そのレスポンスを読み取ることができます。クラウド展開環境では、これによりインスタンスメタデータやIAM認証情報が漏洩する可能性があり、通常は外部に公開されていない内部サービスにも到達できます。ボリュームサーバーのgRPCプレーンはデフォルトで非認証であり、文書化されたJWT署名鍵を設定してもこのRPCは保護されません。本問題はバージョン4.24で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.