PT-2026-130609
CVE-2026-58273
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Rucio الإصدارات من 1.16.1 إلى 35.8.9
Rucio الإصدارات من 38.0.0 إلى 38.5.9
Rucio الإصدارات 41.0.0rc0 وما قبلها
Description
يقوم نقطة النهاية
/credentials/signurl باستخدام ترويسة HTTP X-Rucio-Account بشكل خاطئ لتحديد التفويض بدلاً من هوية الحساب المخزنة في رمز المصادقة. يمكن لأي مستخدم مصرح له بصلاحيات منخفضة تقديم root كقيمة لترويسة X-Rucio-Account لتجاوز فحص إذن get signed url() المخصص للمسؤولين فقط. يسمح هذا للمهاجم بالحصول على رابط موقع مسبقاً للقراءة أو الكتابة أو الحذف لأي كائن عشوائي باستخدام بيانات اعتماد S3 أو GCS أو Swift المخزنة في خادم Rucio. بالإضافة إلى ذلك، في عمليات النشر متعددة الـ VO، يمكن استخدام ترويسة X-Rucio-VO للوصول إلى مستأجرين آخرين. يؤدي ذلك إلى كشف البيانات وتعديلها وحذفها والوصول غير المصرح به بين المستأجرين في RSEs المدعومة سحابياً.Recommendations
تحديث Rucio إلى الإصدار 35.9.0.
تحديث Rucio إلى الإصدار 38.6.0.
تحديث Rucio إلى الإصدار 41.0.0rc1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾