Un jeton d'accès prédéfini a été découvert dans le code de RustFS.

Dans le projet RustFS, qui développe un stockage d'objets distribué compatible S3, écrit en Rust, une vulnérabilité (CVE-2025-68926) a été découverte, rappelant une porte dérobée. Le problème est causé par la présence d'un jeton d'accès durement codé dans le code, permettant de se connecter à un service réseau via le protocole gRPC, en spécifiant dans l'en-tête « authorization » la valeur « rustfs rpc ». Le jeton était présent dans le code du serveur et du client. La vulnérabilité a été classée avec un niveau de gravité critique (9,8 sur 10).

Un attaquant ayant accès au port réseau gRPC pouvait utiliser le jeton spécifié pour effectuer des opérations privilégiées sur le stockage, parmi lesquelles la suppression de données, la manipulation des informations d'identification des utilisateurs et la modification des paramètres du cluster. Par défaut, RustFS accepte les requêtes gRPC sur le port TCP 9000 sur toutes les interfaces réseau. La vulnérabilité a été corrigée dans la version RustFS 1.0.0-alpha.77. grpcurl -plaintext -H ‘authorization: rustfs rpc’ \ -d ‘{« access_key »: « admin »}’ \ localhost:9000 node_service.NodeService/LoadUser grpcurl -plaintext -H ‘authorization: rustfs rpc’ \ -d ‘{« volume »: « config », « path »: « backdoor.sh », « buf »: «… »}’ \ localhost:9000 node_service.NodeService/WriteAll

Source : opennet.ru