PT-2026-21835 · Rustfs · Rustfs

Nikeee · Publicado 2026-02-20 · Atualizado 2026-03-02 · CVE-2026-27607

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.4

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do RustFS de 1.0.0-alpha.56 a 1.0.0-alpha.82

Descrição O RustFS não valida corretamente as condições de política durante uploads POST pré-assinados (PostObject). Isso permite contornar as restrições de content-length-range, starts-with e Content-Type. A exploração bem-sucedida pode levar a uploads não autorizados de arquivos que excedem os limites de tamanho, uploads para chaves de objeto arbitrárias e falsificação de Content-Type. Essas ações podem resultar em esgotamento de armazenamento, acesso não autorizado a dados e contornos de segurança. A função PostObject está envolvida neste problema.

Recomendações Atualize para o RustFS versão 1.0.0-alpha.83 ou posterior.

Exploit

Correção

RCE

Incorrect Authorization

Enumeração de Fraquezas

CWE-20

CWE-863

Identificadores relacionados

BDU:2026-05083

CVE-2026-27607

GHSA-W5FH-F8XH-5X3P

Produtos afetados

Rustfs

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27607.json · Exploit
• 🔥 https://github.com/nikeee/CVE-2026-27607 · Exploit
• https://github.com/rustfs/rustfs · Nota
• https://github.com/rustfs/rustfs/security/advisories/GHSA-w5fh-f8xh-5x3p · Aviso do Fabricante
• https://github.com/rustfs/rustfs/releases/tag/1.0.0-alpha.83 · Nota
• https://twitter.com/CveTodo/status/2026499563670908966 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2026641378453676124 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-27607 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-w5fh-f8xh-5x3p · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2026-05083 · Nota de Segurança
• https://twitter.com/cracbot/status/2028425188279464375 · Publicação no Twitter
• https://twitter.com/_cvereports/status/2026857329535099251 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2026596694800920706 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1rfmr6l/resumen_diario_de_vulnerabilidades_26022026 · Publicação no Reddit
• https://osv.dev/vulnerability/CVE-2026-27607 · Aviso do Fabricante