CVE-2026-73080 in SeaweedFS
요약
\~에 의해 VulDB • 2026. 08. 11.
SeaweedFS는 분산 스토리지 시스템입니다. 버전 4.24 이전의 weed/server/volume_grpc_remote.go에 있는 VolumeServer.FetchAndWriteNeedle 함수는 weed/remote_storage/s3/s3_storage_client.go를 통해 호출자가 제공한 원격 엔드포인트를 가져와서 응답을 needle(바늘) 데이터 구조체에 기록합니다. 이 RPC는 인증이나 대상 유효성 검사를 수행하지 않으므로, 볼륨 서버의 gRPC 포트에 접근할 수 있는 누구나 임의 호스트(로프백, 링크 로컬, RFC 1918 사설 네트워크 및 169.254.169.254와 같은 클라우드 메타데이터 엔드포인트 포함)로의 요청을 유발하고 응답을 읽을 수 있습니다. 클라우드 배포 환경에서는 이를 통해 인스턴스 메타데이터와 IAM 자격 증명이 유출되거나, 일반적으로 노출되지 않은 내부 서비스에 접근할 수 있습니다. 볼륨 서버의 gRPC 플레인은 기본적으로 인증이 비활성화되어 있으며, 문서화된 JWT 서명 키를 구성하더라도 이 RPC는 보호되지 않습니다. 이 문제는 버전 4.24에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.