In het RustFS-project, dat een S3-compatibele gedistribueerde objectstorage ontwikkelt en geschreven is in de programmeertaal Rust, is er een kwetsbaarheid ontdekt (CVE-2025-68926) die lijkt op een backdoor. Het probleem wordt veroorzaakt door een hardcoded toegangstoken in de code dat verbinding mogelijk maakt met een netwerkservice via gRPC, waarbij in de header "authorization" de waarde "rustfs rpc" is opgegeven. Het token was aanwezig in de code van zowel de server als de client. Dit probleem is geklasseerd als een kritiek niveau van gevaar (9.8 uit 10).
Een aanvaller met toegang tot de gRPC-netwerkpoort kon het opgegeven token gebruiken om bevoorrechte bewerkingen uit te voeren op de opslag, waaronder het verwijderen van gegevens, manipulatie van gebruikersreferenties en wijziging van de clusterinstellingen. Standaard accepteert RustFS gRPC-verzoeken op TCP-poort 9000 op alle netwerkinterfaces. De kwetsbaarheid is verholpen in RustFS-versie 1.0.0-alpha.77. grpcurl -plaintext -H ‘authorization: rustfs rpc’ \ -d ‘{«access_key»: «admin»}’ \ localhost:9000 node_service.NodeService/LoadUser grpcurl -plaintext -H ‘authorization: rustfs rpc’ \ -d ‘{«volume»: «config», «path»: «backdoor.sh», «buf»: «…»}’ \ localhost:9000 node_service.NodeService/WriteAll
Bron: opennet.ru
