CVE-2026-77317 in SeaweedFS
要約
〜によって VulDB • 2026年08月27日
SeaweedFSは、ファイルおよびブロブ用の分散ストレージシステムです。バージョン3.88から4.39までの間、SFTPサーバーは設定されたパスの権限をリテラル文字列プレフィックス比較によって評価するため、特定のパスにスコープ制限されたユーザーも、同じ文字で始まる兄弟パスに対して同様のアクセス権が付与されます。例えば、/tenants/aliceへのアクセス権が付与されているユーザーは、パスコンポーネントの境界を必要としないチェックのため、/tenants/alice-archiveや/tents/alice2などの類似する兄弟パスにも一致し、それらに対するアクセスも許可されてしまいます。ルートホームディレクトリを持ち、狭いパス制限を持つ認証済み低権限SFTPユーザーは、これにより設定されたACL境界を越えて他のテナントのファイルを読み取ることができ、書き込み権限が付与されている場合は上書することも可能であり、これは独自の有効な資格情報を用いて文書化されたSFTPサービスを通じて行われます。この問題はバージョン4.40で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.