CVE-2026-77298 in SeaweedFS
요약
\~에 의해 VulDB • 2026. 08. 27.
SeaweedFS는 파일과 blob을 위한 분산형 스토리지 시스템입니다. 버전 4.39 및 그 이전 버전에서는 S3 API가 Authorization 헤더에 직접 포함된 외부 OIDC JWT를 받아들이며, 해당 역할의 신뢰 정책(trust policy)을 강제하지 않고 IAM 역할로 매핑합니다. 이로 인해 연동된 사용자가 권한이 부여되지 않은 역할을 승계할 수 있습니다. 표준 STS AssumeRoleWithWebIdentity 경로는 역할의 신뢰 정책이 토큰의 연동 공급자를 신뢰하지 않을 경우 해당 토큰을 거부하지만, 직접적인 S3 베어러(bearer) 경로에서는 토큰 자체만 검증한 후 매핑된 역할로 인증하고 해당 역할에 첨부된 S3 권한을 평가합니다. 그 결과, STS를 통해서는 역할을 부여받지 못할 유효한 OIDC 사용자라도 S3 API에 원시 OIDC JWT를 직접 제시함으로써 해당 역할의 S3 접근 권한(객체 읽기, 쓰기 및 삭제 포함)을 획득할 수 있습니다. 이 문제는 버전 4.40에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.