CVE-2026-27607: RustFS sem validação de política em POST pré-assinado permitindo gravação arbitrária de objetos
O RustFS, um sistema de armazenamento de objetos distribuído escrito em Rust, não valida as condições de política em uploads POST pré-assinados (PostObject). Um atacante pode contornar restrições de tamanho, prefixo de chave e Content-Type e gravar objetos que a política deveria bloquear. O fabricante informa que a versão 1.0.0-alpha.83 corrige o problema.
Visão geral
O RustFS é um sistema de armazenamento de objetos distribuído escrito em Rust. Segundo o aviso publicado no GitHub, os uploads POST pré-assinados (PostObject) não verificam as condições da política anexada ao envio, de modo que os limites que a política deveria impor podem deixar de valer. A fragilidade é classificada como CWE-863 (Autorização Incorreta). Fonte principal: Aviso de segurança GHSA-w5fh-f8xh-5x3p no GitHub.
Impacto
A descrição do registro indica que podem ser contornadas as seguintes restrições:
- A condição de faixa de tamanho do conteúdo, permitindo envios maiores que o previsto.
- A condição de prefixo (starts-with), permitindo gravações em chaves de objeto fora do escopo pretendido.
- A condição de Content-Type, permitindo falsificar o tipo de conteúdo.
O registro associa essas falhas a possível esgotamento de armazenamento, acesso não autorizado a dados e outras violações de segurança. A NVD atribui pontuação 9.1 (CVSS 3.1, vetor AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H), com alto impacto em integridade e disponibilidade e sem impacto em confidencialidade. Também consta a pontuação 8.1 fornecida pelo GitHub.
Produtos e versões afetadas
O registro identifica o produto como Rustfs Rustfs. A faixa afetada vai de 1.0.0-alpha.56 até 1.0.0-alpha.82, inclusive. A descrição informa que a versão 1.0.0-alpha.83 corrige o problema. O registro lista diversas builds individuais dentro dessa faixa; confirme a cobertura exata no aviso do fabricante antes de decisões de implantação.
Status de exploração
O CVE não aparece como listado no catálogo KEV da CISA no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. Os dados SSVC do registro indicam exploração como none e automatizável como no. A probabilidade EPSS é 0,00454, com percentil 0,38461; são estimativas e não evidência de exploração.
Correção e mitigação
- Atualize o RustFS para a versão 1.0.0-alpha.83 ou posterior, conforme indicado na descrição.
- O registro não traz lista de versões corrigidas nem alternativa de mitigação documentada pelo fabricante; a existência de workaround é desconhecida.
- Até a correção, considere restringir quais identidades podem gerar políticas de POST pré-assinado e revisar políticas existentes com condições excessivamente amplas. Esta é uma inferência a partir da descrição da falha, não uma recomendação do fabricante.
Orientações de detecção
- Revise os logs do servidor em busca de uploads POST para buckets, com atenção a objetos incomumente grandes, gravados em prefixos inesperados ou com tipos de conteúdo fora do esperado.
- Compare inventários de objetos e o crescimento do armazenamento com linhas de base esperadas para identificar gravações não autorizadas.
- Correlacione os eventos de upload com as identidades e políticas usadas para gerar as requisições pré-assinadas.
Limitações das informações disponíveis
O registro traz uma descrição curta e uma referência a um aviso do fabricante. Não inclui análise técnica detalhada, detalhes de configuração padrão, a lógica de validação ausente nem uma lista confirmada de builds corrigidas além da afirmação da descrição. O campo de correções do registro está vazio. Não se sabe, pelas fontes consultadas, se a exploração exige autenticação ou configurações específicas de implantação.
Perguntas frequentes
Qual é a falha principal do CVE-2026-27607?
O RustFS não valida as condições de política em uploads POST pré-assinados, então limites como tamanho, prefixo de chave e Content-Type podem não ser aplicados.
Quais versões são afetadas?
Segundo o registro, a faixa afetada vai de 1.0.0-alpha.56 até 1.0.0-alpha.82, inclusive.
Existe correção?
A descrição informa que a versão 1.0.0-alpha.83 corrige o problema. O registro não traz um campo separado de versões corrigidas.
Este CVE é explorado ativamente?
Ele não está listado no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.