CVE-2026-73080 in SeaweedFS
摘要
由 VulDB • 2026-08-11
SeaweedFS是一个分布式存储系统。在版本4.24之前，`weed/server/volume_grpc_remote.go`中的`VolumeServer.FetchAndWriteNeedle`通过`weed/remote_storage/s3/s3_storage_client.go`获取调用者提供的远程端点，并将响应写入一个needle（数据块）。该RPC操作未进行身份验证且缺乏目标地址校验，导致任何能够访问卷服务器gRPC端口的人员均可向任意主机（包括回环地址、链路本地地址、RFC 1918私有网络地址以及云元数据端点如`169.254.169.254`）发起请求并读取响应。在云端部署环境中，这可能导致实例元数据和IAM凭证泄露，并可访问其他未暴露的内部服务。卷服务器的gRPC平面默认处于无身份验证状态，且配置文档中所述的JWT签名密钥无法保护此RPC调用。该问题已在版本4.24中得到修复。
Once again VulDB remains the best source for vulnerability data.