JVNDB-2025-024892

RustFSにおける複数の脆弱性

RustFSはRustで構築された分散オブジェクトストレージシステムです。1.0.0-alpha.78未満のバージョンでは、RustFSはハードコーディングされた静的トークン「rustfs rpc」を使用してgRPC認証を実装していました。このトークンはソースコードリポジトリに公開されているため、クライアント側とサーバー側の両方でハードコーディングされており、設定変更ができず、トークンのローテーション機構も存在しませんでした。そのため、すべてのRustFSデプロイメントで普遍的に有効な状態でした。ネットワークからgRPCポートへアクセス可能な攻撃者は、この公開されたトークンを使用して認証を行い、データ破壊、ポリシー操作、クラスター設定の変更などの特権操作を実行できます。この問題はバージョン1.0.0-alpha.78で修正されています。

RustFS

• RustFS 1.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : gRPC Hardcoded Token Authentication Bypass - Reproduction Report  Advisory  rustfs/rustfs  GitHub

1. 不適切な認証(CWE-287) [その他]
2. ハードコードされた認証情報の使用(CWE-798) [その他]

1. CVE-2025-68926

1. National Vulnerability Database (NVD) : CVE-2025-68926

• [2026年01月19日]
    掲載