Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-639

CVE-2026-58273

Rucio REST API'de imzalı URL uç noktasında yetki atlatma (Authorisation Bypass)

rucio

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
6 Kas 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, sisteminizdeki sıradan bir kullanıcı hesabının yönetici yetkisindeki işlemleri yapmasına ve bulut depolama alanındaki verilere erişmesine olanak tanıyabilir. Veri sızıntısı, değiştirilme veya silinme riski iş sürekliliği ve güven açısından yüksektir. Bu nedenle güncellemenin öncelikli olarak yapılması gerekir.

ÖzetTürkçe

Rucio, bilimsel veri yönetimi için kullanılan bir çerçevedir. 1.16.1 ile 35.9.0, 38.6.0 ve 41.0.0rc1 arasındaki sürümlerde /credentials/signurl uç noktası, kimlik doğrulama sonrası hesabı request.environ['issuer'] yerine X-Rucio-Account başlığından okumaktadır. Bu nedenle kimliği doğrulanmış düşük yetkili herhangi bir kullanıcı bu başlığa root değerini girerek yalnızca root'a açık get_signed_url yetki kontrolünü geçebilmektedir. Sunucu, saklanan S3, GCS veya Swift kimlik bilgilerini kullanarak saldırganın seçtiği nesne için okuma, yazma veya silme yetkili imzalı bir URL üretmektedir. Çok kiracılı (multi-VO) kurulumlarda X-Rucio-VO başlığı ile başka bir kiracı da seçilebilmektedir.

Saldırgan ne yapabilir?

Saldırgan, bulut tabanlı RSE'lerdeki verileri okuyabilir, değiştirebilir veya silebilir ve başka kiracıların verilerine erişebilir.

Kaynaktaki açıklama (İngilizce)

Rucio is a scientific data management framework. From 1.16.1 until 35.9.0, 38.6.0, and 41.0.0rc1, the /credentials/signurl endpoint reads X-Rucio-Account instead of the account stored in request.environ['issuer'] by token authentication. Any authenticated low-privilege user can supply root as the header value and pass the root-only get_signed_url permission check. The server then returns a presigned read, write, or delete URL for an attacker-selected object using stored S3, GCS, or Swift credentials, and X-Rucio-VO can select another tenant in multi-VO deployments. This permits data disclosure, modification, deletion, and cross-tenant access on cloud-backed RSEs. This issue is fixed in versions 35.9.0, 38.6.0, and 41.0.0rc1.

Ne yapmalı?

  1. Rucio'yu düzeltilmiş sürümlere yükseltin: 35.9.0, 38.6.0 veya 41.0.0rc1 (kullandığınız dal için uygun olan sürüm). Genel öneri
  2. Güncelleme yapılana kadar /credentials/signurl uç noktasına erişimi, güvenilmeyen ağlardan ve düşük yetkili kullanıcılardan kısıtlayın. Genel öneri
  3. Bulut depolama alanlarında kullanılan kimlik bilgilerini (S3, GCS, Swift) gözden geçirin ve olası kötüye kullanıma karşı gerekirse döndürün. Genel öneri

Ek önlemler

  • Sunucu erişim günlüklerinde /credentials/signurl çağrılarını ve bu çağrılardaki X-Rucio-Account ile X-Rucio-VO başlıklarını izleyin. Genel öneri
  • Bulut depolama erişim günlüklerinde beklenmeyen imzalı URL kullanımlarını ve olağandışı okuma, yazma veya silme işlemlerini inceleyin. Genel öneri
  • Çok kiracılı kurulumlarda kiracılar arası erişim kurallarını ve yetki sınırlarını düzenli olarak doğrulayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
rucio Sürüm belirtilmemiş –

Kaynaklar9 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.