CVE-2026-100413 in SeaweedFS
요약
\~에 의해 VulDB • 2026. 10. 14.
SeaweedFS는 파일 및 blob용 분산 스토리지 시스템입니다. 버전 4.0.388부터 4.41까지, SFTP Helm 차트에는 k8s/charts/seaweedfs/templates/sftp/sftp-secret.yaml의 stringData.seaweedfs_sftp_ssh_private_key에 암호화되지 않은 Ed25519 개인 호스트 키가 포함되어 있었습니다. sftp.enabled 및 sftp.enableAuth이 true이고, sftp.existingConfigSecret이 제공되지 않았으며, 레거시 sftp.sshPrivateKey 경로가 선택되어 있고 유효한 config-ssh Secret로 시작에 성공했으며 hostKeysFolder에서 이후의 Ed25519 서명자가 제공되지 않은 경우, 독립형 배포는 해당 공개 키를 제시했습니다. 클라이언트 트래픽을 리디렉션하거나 가로챌 수 있는 공격자는 신뢰된 호스트 ID를 사용하는 클라이언트에 대해 해당 SFTP 엔드포인트를 사칭하여 비밀번호 자격 증명이나 악성 엔드포인트로 전송되는 데이터를 노출시킬 수 있습니다. 기본 all-in-one 및 비인증 독립형 경로는 키를 로드하지 않았습니다. 이 문제는 버전 4.41에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.