PT-2026-3139 · Lakefs · Lakefs

CVE-2025-68671 · Publicado 2026-01-15 · Atualizado 2026-07-30

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do lakeFS anteriores a 1.75.0

Descrição O gateway S3 do lakeFS não valida os timestamps em requisições autenticadas, o que permite ataques de replay. Um atacante que capture uma requisição assinada válida pode reproduzi-la até que as credenciais sejam rotacionadas, mesmo após a expiração pretendida da requisição. Os endpoints da API são suscetíveis a esse problema. Os parâmetros vulneráveis incluem aqueles utilizados em requisições autenticadas.

Recomendações Atualize para a versão 1.75.0. Utilize credenciais de curta duração e rotacione as chaves de acesso frequentemente, desativando as chaves antigas. Restrinja o acesso ao gateway S3 a redes/IPs confiáveis.

Exploit

Correção

Enumeração de Fraquezas

CWE-294

Identificadores relacionados

CVE-2025-68671

GHSA-F2PH-GC9M-Q55F

GO-2026-4321

OPENSUSE-SU-2026:21483-1

SUSE-SU-2026:0292-1

Produtos afetados

Lakefs

Referências · 1748

• 🔥 https://github.com/treeverse/lakeFS/issues/9599 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/68xxx/CVE-2025-68671.json · Exploit
• https://github.com/treeverse/lakeFS · Nota
• https://github.com/treeverse/lakeFS/commit/92966ae611d7f1a2bbe7fd56f9568c975aab2bd8 · Correção
• https://github.com/treeverse/lakeFS/security/advisories/GHSA-f2ph-gc9m-q55f · Aviso do Fabricante
• https://github.com/treeverse/lakeFS/pull/9710 · Nota
• https://suse.com/security/cve/CVE-2026-7374 · Nota
• https://suse.com/security/cve/CVE-2026-45680 · Nota
• https://suse.com/security/cve/CVE-2026-40248 · Nota
• https://suse.com/security/cve/CVE-2025-68954 · Nota
• https://suse.com/security/cve/CVE-2026-50195 · Nota
• https://suse.com/security/cve/CVE-2025-41410 · Nota
• https://suse.com/security/cve/CVE-2026-41136 · Nota
• https://suse.com/security/cve/CVE-2026-23829 · Nota
• https://suse.com/security/cve/CVE-2026-57886 · Nota