Plataforma
rust
Componente
rustfs
Corrigido em
1.0.1
1.0.0-alpha.79
Uma vulnerabilidade de Path Traversal foi descoberta no componente rustfs, especificamente no endpoint /rustfs/rpc/readfilestream. A falha de validação de caminho permite que um atacante acesse ou modifique arquivos arbitrários no sistema. Versões anteriores a 1.0.0-alpha.79 são vulneráveis, e uma correção foi lançada nessa versão.
A vulnerabilidade de Path Traversal em rustfs permite que um atacante contorne as verificações de segurança e acesse arquivos que normalmente estariam protegidos. Isso pode levar à divulgação de informações confidenciais, como chaves de API, dados de configuração ou informações pessoais. Em cenários mais graves, um atacante pode até mesmo modificar arquivos críticos do sistema, comprometendo a integridade do sistema. A falta de sanitização adequada do caminho no código crates/ecstore/src/disk/local.rs:1791 é a causa raiz do problema, permitindo a construção de caminhos maliciosos que escapam das restrições de acesso.
A vulnerabilidade foi divulgada em 2026-01-07. A avaliação inicial do CVSS indica uma severidade de 7.5 (HIGH). Não há informações disponíveis sobre a existência de Proof-of-Concepts (PoCs) públicos ou campanhas de exploração ativas no momento. A vulnerabilidade não foi adicionada ao Catálogo de Vulnerabilidades Conhecidas (KEV) da CISA até o momento.
Systems utilizing rustfs for file storage or data access are at risk, particularly those with exposed RPC endpoints. Environments with legacy configurations or those lacking robust access controls are especially vulnerable. Shared hosting environments where multiple users share the same rustfs instance are also at increased risk.
• rust: Examine logs for requests to /rustfs/rpc/readfilestream containing path traversal sequences (e.g., ../).
• generic web: Use curl to test the endpoint with various path traversal payloads: curl 'http://<rustfsendpoint>/rustfs/rpc/readfile_stream?path=../../../../etc/passwd'
• generic web: Monitor access logs for unusual file access patterns originating from the /rustfs/rpc/readfilestream endpoint.
• generic web: Check for unexpected files appearing in the rustfs data directory.
disclosure
Status do Exploit
EPSS
0.04% (percentil 13%)
CISA SSVC
A mitigação primária é atualizar para a versão 1.0.0-alpha.79 ou superior, que inclui a correção para essa vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de mitigação adicionais, como restringir o acesso ao endpoint /rustfs/rpc/readfilestream apenas a fontes confiáveis. Implementar regras de firewall ou WAF para bloquear solicitações com caminhos suspeitos também pode ajudar a reduzir o risco. Monitore os logs do sistema em busca de tentativas de acesso a arquivos não autorizados.
Actualice RustFS a la versión 1.0.0-alpha.79 o superior. Esta versión contiene la corrección para la vulnerabilidad de path traversal. La actualización se puede realizar mediante el sistema de gestión de paquetes de Rust, Cargo.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2025-68705 is a Path Traversal vulnerability in rustfs, allowing attackers to potentially read or write arbitrary files due to insufficient path validation in the /rustfs/rpc/readfilestream endpoint.
You are affected if you are using a version of rustfs prior to 1.0.0-alpha.79. Assess your environment to determine if you are using a vulnerable version.
Upgrade to rustfs version 1.0.0-alpha.79 or later to address the path validation issue. Consider implementing WAF rules as a temporary mitigation.
While no active exploitation has been publicly confirmed, the vulnerability's ease of exploitation and potential impact make it a high-priority concern.
Refer to the rustfs project's official communication channels and security advisories for the latest information regarding CVE-2025-68705.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo Cargo.lock e descubra na hora se você está afetado.