CVE-2026-73285
Vulnérabilité élevée dans rustfs (rustfs)
CVSS 7.5 · Élevée
EPSS 0.5%
rustfs•rustfs•Versions : >= 1.0.0-alpha.64, < 1.0.0-rc.1
Description
RustFS is a distributed object storage system built in Rust. From 1.0.0-alpha.64 until 1.0.0-rc.1, RustFS external OPA authorization enabled by RUSTFS_POLICY_PLUGIN_URL in crates/iam/src/sys.rs sets PreparedIamAuth.needs_existing_object_tag incorrectly for PreparedIamMode::Opa, causing maybe_merge_object_tag_conditions to omit s3:ExistingObjectTag/* values and allowing authenticated users to bypass tag-based policy restrictions. This issue is fixed in version 1.0.0-rc.1.
Gravité et risque d'exploitation
CVE-2026-73285 obtient un score CVSS de 7.5/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.46 %, ce qui la place devant 38.8 % des CVE référencées.
Que faire ?
- Vérifiez si rustfs (versions >= 1.0.0-alpha.64, < 1.0.0-rc.1) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/rustfs/rustfs/security/advisories/GHSA-5w8r-p896-6vq2
- https://github.com/rustfs/rustfs/commit/98d3619613722308498494d412797a52ea8ae64d
- https://github.com/rustfs/rustfs/blob/380ed40b471887014fe21d069b61df9eacca074b/.agents/skills/security-advisory-lessons/references/advisory-patterns.md?plain=1#L47
- https://github.com/rustfs/rustfs/releases/tag/1.0.0-rc.1