CVE-2026-73289 in RustFS
要約
〜によって VulDB • 2026年08月12日
RustFSは、Rustで構築された分散オブジェクトストレージシステムです。バージョン1.0.0-beta.12より前では、crates/policy/src/policy/function/string.rsがevalまたはeval_likeの後に集計結果を否定するため、各リクエスト値述語を量化の前に否定しないという実装により、ForAllValues: および ForAnyValue: セット修飾子が StringNotEquals、StringNotEqualsIgnoreCase、StringNotLike、ArnNotEquals、および ArnNotLike の negated string operators として互いのセマンティクスを使用して評価されていました。その結果、部分的に重複するポリシーとリクエスト値のセットにより、Allow条件が除外されたプリンシパルへのアクセスを許可したり、Denyガードレールが失敗することがあり、jwt:groups および jwt:roles に基づくポリシーも含まれます。また、キーが存在しない場合にも ForAllValues: と ForAnyValue: の逆の動作が発生します。この問題はバージョン1.0.0-beta.12で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.