CVE-2026-49991
Açıklama
RustFS, Rust ile oluşturulmuş dağıtık bir nesne depolama sistemidir. 1.0.0-beta.4 sürümünde, yalnızca kendi kovalarında PutObject iznine sahip kimliği doğrulanmış kullanıcılar, Snowball otomatik çıkarma özelliğindeki bir dizinlemesine geçiş (path traversal) zafiyetini kullanarak diğer kullanıcıların kovalarına rastgele nesneler yazabilir ve çok kiracılı izolasyonu tamamen bozabilir. Zafiyet üç hatayı zincirlemektedir: tar giriş anahtarı normalleştirmesinde ../ temizliğinin yapılmaması; IAM joker karakter eşleşmesinin ham (temizlenmemiş) yolları kullanması ve Dosya sistemi yolu temizleme işleminin kova sınırları boyunca ../ ifadelerini çözümlemesi.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rustfs rustfs | 1.0.0-beta.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.