CVE-2026-77368 in SeaweedFS
要約
〜によって VulDB • 2026年08月27日
SeaweedFSは、ファイルやblob用の分散ストレージシステムです。バージョン4.39では、filerのTUS再開可能アップロードハンドラがJWT allowed_prefixesのスコーピングをチェックするのはセッション作成時のみであり、権限の低いテナントが別のテナントのアップロードセッションをハイジャックして、自身のトークンで禁止されているfilerパスにコンテンツを書き込むことが可能です。既存のセッションに対してそのIDによって作用するHEAD、PATCH、DELETEメソッドは、セッションの保存されたターゲットパスが呼び出し元の許可済みプレフィックス内に収まっているかどうかを検証しないため、他のアップロードのセッション識別子を入手したテナントはそれに攻撃者のバイト列をPATCHし、完了するとファイルが被害者側のスコープ外のパスに配置されることになります。同じトークンを使用して、他のテナントのセッションもDELETEしたり、HEADメソッドでアップロードの進捗状況やサイズを読み取ったりすることも可能であり、JWTによるプレフィックス分離機能が無力化されます。この脆弱性は、filer JWT署名を設定しTUSアップロードを有効にしたデプロイメントでのみ影響します。本問題はバージョン4.40で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.