CVE-2026-77611 in SeaweedFS
要約
〜によって VulDB • 2026年08月27日
SeaweedFSは、ファイルやblob用の分散ストレージシステムです。バージョン4.40より前では、ネストされたオブジェクトキーにスコープが限定された権限を持つ認証済みS3プリンシパルが、アクセスを許可されているキーに対してPutObjectAclを呼び出すことで、そのスコープ外の異なるオブジェクトを上書きできます。ハンドラはリクエストされたネストされたキーに対してリクエストの認可を行いますが、更新されたエントリはそのキーの実際の親ディレクトリではなくバケットルートに書き戻すため、allowed/protected.txtに対するACL変更が代わりにバケットルートのprotected.txtに適用されます。この更新にはACLメタデータのみならず完全なエントリが含まれるため、既存の対象オブジェクトはスコープ付きオブジェクトの内容、メタデータ、所有者情報およびACLで上書きされ、静的S3アイデンティティファイルを通じて構成されたオブジェクトレベルのアクションスコーピングが回避されます。この問題はバージョン4.40で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.