RustFS tiene un cortocircuito IAM deny_only que permite la escalada de privilegios a través de la creación de cuentas de servicio

Un atacante que explote esta vulnerabilidad podría obtener acceso no autorizado a recursos y realizar acciones que normalmente estarían fuera de su alcance. Esto podría incluir la modificación de datos sensibles, la interrupción de servicios o el compromiso de la integridad del sistema. La capacidad de auto-emitir cuentas de servicio con privilegios completos permite una escalada significativa de privilegios, similar a la explotación observada en CVE-2025-62506 en MinIO. El impacto potencial es alto, especialmente en entornos donde se utilizan cuentas de servicio con privilegios limitados para tareas específicas.

Organizations heavily reliant on RustFS for data storage and access control are at risk. This includes those using RustFS in multi-tenant environments or with complex IAM policies. Legacy configurations with overly permissive service account policies are particularly vulnerable.

• rust: Examine RustFS logs for unusual service account creation patterns or privilege escalation attempts. Look for requests that bypass policy checks.

# Example: Filter RustFS logs for service account creation events
zgrep 'service_account_created' /var/log/rustfs/audit.log

• generic web: Monitor RustFS API endpoints for suspicious requests related to IAM operations.

# Example: Use curl to check for unauthorized access attempts
curl -v https://rustfs.example.com/iam/create_service_account -H "Authorization: Bearer <restricted_token>"

1. 2026-01-08Disclosure

   disclosure

1. Reservado2026-01-05
2. Publicada2026-01-08
3. Modificada2026-02-03
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar a la versión 1.0.0-alpha.79 o posterior de rustfs. Si la actualización no es inmediatamente posible, se recomienda implementar controles de acceso adicionales para limitar el impacto potencial. Esto podría incluir la revisión y el endurecimiento de las políticas IAM, la restricción de los permisos de las cuentas de servicio y la monitorización de la actividad inusual. Implementar reglas de WAF o proxies para bloquear solicitudes sospechosas que intenten explotar esta vulnerabilidad también puede ser útil. Después de la actualización, confirme la corrección verificando que las cuentas de servicio restringidas no puedan auto-emitir cuentas con privilegios elevados.