CVE-2026-54917: SeaweedFS: travessia de diretório nos gateways S3 e Iceberg
A CVE-2026-54917 é uma falha de travessia de diretório nos gateways da API S3 e do catálogo REST Iceberg do SeaweedFS anteriores à versão 4.30. Como a limpeza de caminhos está desativada no roteador, segmentos de diretório pai em chaves de objeto podem desviar a requisição para outro bucket. O registro classifica a severidade como crítica e indica correção na versão 4.30.
Visão geral
O SeaweedFS é um sistema de armazenamento distribuído que expõe armazenamento de objetos por meio de uma API S3, sistemas de arquivos e tabelas Iceberg. Segundo o registro, o gateway da API S3 e o gateway do catálogo REST Iceberg constroem seus roteadores com a limpeza de caminhos desativada antes da versão 4.30. Isso permite que uma chave de objeto contendo segmentos de diretório pai seja resolvida fora do bucket indicado na requisição.
Impacto
O registro classifica o problema como travessia de diretório (CWE-22). Uma requisição roteada para um bucket pode ler ou gravar objetos de outro bucket depois que a chave do objeto é unida a um caminho do filer. A pontuação NVD é 10 no CVSS 3.1, com alto impacto em confidencialidade e integridade e sem impacto em disponibilidade. A pontuação da CNA do GitHub é 7,8 no CVSS 4.0. A exposição real de dados depende da implantação e da organização dos buckets, o que o registro não descreve.
Produtos e versões afetadas
- Produto listado: Seaweedfs Seaweedfs.
- Faixa afetada listada: < 4.30.
- Versão corrigida indicada na descrição: 4.30.
- O registro não lista versões anteriores individuais dentro dessa faixa.
Status de exploração
Segundo o registro, o catálogo CISA KEV não inclui este CVE, e nenhuma exploração confirmada aparece nas fontes consultadas. O aviso do GitHub traz a marcação Exploit nos metadados de referência, mas essa marcação sozinha não confirma exploração no ambiente real. Os dados de EPSS e SSVC estão ausentes do registro.
Correção e mitigação
- Atualize o SeaweedFS para a versão 4.30 ou superior, a versão que a descrição identifica como corrigida.
- Consulte o aviso de segurança do GitHub para as orientações do fornecedor.
- O registro cita uma referência de mitigação no pull request 9687. Seu conteúdo não estava disponível para esta análise, portanto revise-o antes de usá-lo como controle provisório.
- Enquanto as atualizações são planejadas, restrinja o acesso de rede aos gateways S3 e REST Iceberg a clientes confiáveis. Isso reduz a exposição, mas não é uma correção verificada.
Orientações para detecção
- Revise os logs de acesso dos gateways em busca de caminhos de objeto com segmentos de diretório pai ou que resolvam para um bucket diferente do indicado na requisição.
- Correlacione leituras ou gravações inesperadas entre buckets com registros de identidade e auditoria.
- Acompanhe o status de atualização de todas as instâncias do SeaweedFS, incluindo ambientes internos, de teste e de desenvolvimento.
Limitações das informações disponíveis
O registro não traz detalhes técnicos de reprodução, nem uma lista de versões anteriores além da faixa < 4.30, nem pontuação EPSS e nem decisão SSVC. Não é possível determinar pelo registro se uma implantação específica está acessível nem quais dados ela armazena.
Perguntas frequentes
Há exploração conhecida desta vulnerabilidade?
Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro indica que o CVE não consta no catálogo CISA KEV.
Qual versão corrige o problema?
O registro afirma que a vulnerabilidade está corrigida no SeaweedFS 4.30, portanto a atualização para essa versão ou superior a resolve segundo a descrição do fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.