RustFS パス・トラバーサル脆弱性

この脆弱性は、攻撃者がファイルシステムを自由に探索し、機密情報を盗み出したり、悪意のあるファイルを書き込んだりすることを可能にします。特に、重要な設定ファイルや認証情報が格納されているファイルが危険にさらされる可能性があります。攻撃者は、この脆弱性を悪用して、システム全体の制御を奪取する可能性も否定できません。類似の脆弱性は、ファイル共有サービスやストレージシステムで悪用される事例が見られます。

Systems utilizing rustfs for file storage or data access are at risk, particularly those with exposed RPC endpoints. Environments with legacy configurations or those lacking robust access controls are especially vulnerable. Shared hosting environments where multiple users share the same rustfs instance are also at increased risk.

• rust: Examine logs for requests to /rustfs/rpc/readfilestream containing path traversal sequences (e.g., ../). • generic web: Use curl to test the endpoint with various path traversal payloads: curl 'http://<rustfsendpoint>/rustfs/rpc/readfile_stream?path=../../../../etc/passwd' • generic web: Monitor access logs for unusual file access patterns originating from the /rustfs/rpc/readfilestream endpoint. • generic web: Check for unexpected files appearing in the rustfs data directory.

1. 2026-01-07Disclosure

   disclosure

1. 予約済み2025-12-23
2. 公開日2026-01-07
3. 更新日2026-02-03
4. EPSS 更新日2026-03-23

1.0.0-alpha.79へのアップデートが推奨されます。アップデートが困難な場合は、/rustfs/rpc/readfilestreamエンドポイントへのアクセスを制限するWAFルールを実装するか、ファイルパスの検証を強化するカスタムコードを導入することを検討してください。ファイルパスの検証には、許可されたディレクトリのみへのアクセスを制限するホワイトリスト方式を採用することが重要です。また、ファイルアクセスログを監視し、異常なアクセスパターンを検出することも有効です。