CVE-2026-73290 in RustFS
요약
\~에 의해 VulDB • 2026. 08. 12.
RustFS는 Rust로 구축된 분산 객체 스토리지 시스템입니다. 버전 1.0.0-beta.12 이전에는 rustfs/src/storage/access.rs에 있는 직접적인 버킷 정책 권한이 없는 익명 ListObjectVersions 요청이 s3:ListBucket 확인으로 폴백되어, policy_allowed 경로에서 deny_anonymous_table_data_plane_if_needed 및 RestrictPublicBuckets가 적용되기 전에 반환됩니다. 따라서 운영자가 공개 접근 제어를 활성화한 후에도 익명 열거를 허용하는 버킷은 버전 목록을 계속 노출할 수 있습니다. 이 우회 공격은 GET /<bucket>?versions=에 영향을 미치며, 동일한 GetObject 요청이 거부되더라도 객체 버전 메타데이터가 유출될 수 있습니다. 이 문제는 버전 1.0.0-beta.12에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.