PT-2026-2144 · Rustfs · Rustfs

Threonine · Publicado 2026-01-08 · Atualizado 2026-01-08 · CVE-2026-22043

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do RustFS de 1.0.0-alpha.13 até 1.0.0-alpha.78

Descrição O RustFS é um sistema de armazenamento de objetos distribuído construído em Rust. Uma falha na lógica de curto-circuito deny only dentro do IAM do RustFS permite que uma conta de serviço restrita ou credencial STS crie uma conta de serviço sem restrições, adquirindo os privilégios completos da conta pai. Isso permite a escalonação de privilégios e contorna restrições de políticas de sessão ou inline. O componente vulnerável é o sistema IAM do RustFS, especificamente a lógica de curto-circuito deny only.

Recomendações Versões anteriores à 1.0.0-alpha.79 são afetadas e devem ser atualizadas para a versão 1.0.0-alpha.79 ou posterior.

Exploit

Correção

LPE

Insufficiently Protected Credentials

Improper Privilege Management

Improper Access Control

Enumeração de Fraquezas

CWE-522

CWE-269

CWE-284

Identificadores relacionados

CVE-2026-22043

GHSA-XGR5-QC6W-VCG9

Produtos afetados

Rustfs

Referências · 8

• 🔥 https://github.com/rustfs/rustfs/security/advisories/GHSA-xgr5-qc6w-vcg9 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/22xxx/CVE-2026-22043.json · Exploit
• https://github.com/rustfs/rustfs · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-22043 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-22043 · Aviso do Fabricante
• https://t.me/CVEtracker/41732 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-xgr5-qc6w-vcg9 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2009291492406292516 · Publicação no Twitter