CVE-2026-55838

Nome do Software Vulnerável e Versões Afetadas RustFS versões anteriores a 1.0.0-beta.8

Description RustFS é um sistema de armazenamento de objetos distribuído construído em Rust. O endpoint de métricas em tempo real '/rustfs/admin/v3/metrics' está acessível a qualquer usuário IAM válido, independentemente de sua política atribuída. Isso ocorre porque o MetricsHandler não chama a função validate admin request(), que é utilizada por outros manipuladores administrativos para impor verificações de IAM para ações administrativas. Consequentemente, um usuário IAM restrito pode acessar métricas operacionais de todo o servidor, incluindo estatísticas de E/S de disco, taxa de transferência de rede, tempo de ciclo do scanner e estado de RPC do cluster.

Recommendations Atualize para uma versão posterior à 1.0.0-beta.7. Restrinja o acesso ao endpoint '/rustfs/admin/v3/metrics' para minimizar o risco de divulgação não autorizada de informações.