PT-2026-44467 · Rustfs · Rustfs

Skandragon · Publicado 2026-05-28 · Atualizado 2026-05-28 · CVE-2026-45039

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas RustFS versões anteriores a 1.0.0-beta.2

Descrição A camada RPC internode autentica requisições usando uma assinatura HMAC-SHA256 com um segredo compartilhado. A função get shared secret() em crates/ecstore/src/rpc/http auth.rs utiliza por padrão uma chave pública incorporada na árvore de origem DEFAULT SECRET KEY ("rustfsadmin") caso a variável de ambiente RUSTFS RPC SECRET e a chave secreta global do S3 não estejam configuradas.

Recomendações Atualize para a versão 1.0.0-beta.2. Configure a variável de ambiente RUSTFS RPC SECRET ou a chave secreta global do S3 para evitar o uso da chave secreta padrão.

Correção

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-798

CWE-1392

Identificadores relacionados

CVE-2026-45039

Produtos afetados

Rustfs

Referências · 3

• https://github.com/rustfs/rustfs/security/advisories/GHSA-r5qv-rc46-hv8q · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-45039 · Nota de Segurança
• https://twitter.com/CVEnew/status/2060091937688895756 · Publicação no Twitter