BDU:2026-00007

Опубликовано: 30 дек. 2025

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость прикладного программного интерфейса аутентификации gRPC распределенной системы хранения данных RustFS связана с использованием жестко закодированных учетных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие механизмы безопасности и получить несанкционированный доступ к системе

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

RustFS

Версия ПО

до alpha.77 (RustFS)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование нестандартных сетевых портов для доступа к распределенной системы хранения данных RustFS (по умолчанию 9000);

- использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимой системе;

- ограничение доступа из внешних сетей (Интернет);

- ограничение доступа к уязвимой системе, используя схему доступа по «белым спискам»;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций:

Обновление программного обеспечения до версии alpha.77 и выше;

https://github.com/rustfs/rustfs/security/advisories/GHSA-h956-rh7x-ppgj

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://github.com/rustfs/rustfs/security/advisories/GHSA-h956-rh7x-ppgj

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-68926
CVE

EPSS

Процентиль: 91%

0.06663

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2025-68926

CVSS3: 9.8

nvd

около 1 месяца назад

RustFS is a distributed object storage system built in Rust. In versions prior to 1.0.0-alpha.78, RustFS implements gRPC authentication using a hardcoded static token `"rustfs rpc"` that is publicly exposed in the source code repository, hardcoded on both client and server sides, non-configurable with no mechanism for token rotation, and universally valid across all RustFS deployments. Any attacker with network access to the gRPC port can authenticate using this publicly known token and execute privileged operations including data destruction, policy manipulation, and cluster configuration changes. Version 1.0.0-alpha.78 contains a fix for the issue.

GHSA-h956-rh7x-ppgj

CVSS3: 9.8

github

около 1 месяца назад

RustFS has a gRPC Hardcoded Token Authentication Bypass

EPSS

Процентиль: 91%

0.06663

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2