CVE-2026-54330
Açıklama
Ceph; nesne, blok ve dosya depolama sağlayan açık kaynaklı bir dağıtık depolama platformudur. 20.2.4 ve 19.2.6 öncesindeki sürümlerde, Ceph Object Gateway (RGW) SigV4 işleyicisi, imzalı başlık kümesinde bulunmayan x-amz-* başlıklarını taşıyan istekleri reddetmemektedir; bu durum, önceden imzalanmış (presigned) bir URL'ye sahip olan herhangi birinin, RGW tarafından kabul edilecek rastgele imzasız x-amz-* başlıkları eklemesine izin verir. AWS S3, bir SigV4 isteğindeki her x-amz-* başlığının imzalanmasını gerektirir ve ek imzasız başlıklar içeren istekleri reddeder, ancak RGW yalnızca X-Amz-SignedHeaders içinde listelenen başlıkları doğrular ve diğerlerini yoksayar, böylece bu başlıklar imza kapsamında olmadan etkili olur. Bir saldırgan, önceden imzalanmış bir PUT URL'sine bu tür başlıklar ekleyerek, kendilerine URL'yi imzalayan kişinin amaçladığından daha fazla yetenek tanımlayabilir ve yetkilerini yükseltebilir. Bu sorun 20.2.4 ve 19.2.6 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ceph ceph | >= 19.0.0, < 19.2.6, >= 20.0.0, < 20.2.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.