CVE-2026-58273

Nome do Software Vulnerável e Versões Afetadas Rucio versões 1.16.1 até 35.8.9 Rucio versões 38.0.0 até 38.5.9 Rucio versões 41.0.0rc0 e anteriores

Description O endpoint /credentials/signurl utiliza incorretamente o cabeçalho HTTP X-Rucio-Account para determinar a autorização em vez da identidade da conta armazenada no token autenticado. Um usuário autenticado com baixos privilégios pode fornecer root como valor para o cabeçalho X-Rucio-Account para ignorar a verificação de permissão get signed url(), que é restrita a usuários root. Isso permite que o invasor obtenha uma URL pré-assinada de leitura, gravação ou exclusão para qualquer objeto arbitrário usando as credenciais S3, GCS ou Swift armazenadas no servidor Rucio. Além disso, em implantações multi-VO, o cabeçalho X-Rucio-VO pode ser usado para acessar outros locatários. Isso resulta em divulgação, modificação, exclusão de dados não autorizada e acesso entre locatários em RSEs baseados em nuvem.

Recommendations Atualize o Rucio para a versão 35.9.0. Atualize o Rucio para a versão 38.6.0. Atualize o Rucio para a versão 41.0.0rc1.