CVE-2025-68926 - RustFS gRPC硬编码令牌认证绕过漏洞
概述
描述
RustFS是一个用Rust构建的分布式对象存储系统。在1.0.0-alpha.77之前的版本中，RustFS使用硬编码的静态令牌"rustfs rpc"来实现gRPC身份验证。该令牌在源代码仓库中公开暴露，在客户端和服务器端均被硬编码，无法配置且没有令牌轮换机制，并且在所有RustFS部署中普遍有效。任何能够访问gRPC端口的攻击者都可以使用此公开已知的令牌进行身份验证，并执行包括数据销毁、策略操作和集群配置更改在内的特权操作。版本1.0.0-alpha.77包含了针对此问题的修复。
发布时间
2025年12月30日 下午5:15
最后修改时间
2025年12月30日 下午5:15
远程利用
是！
来源
security-advisories@github.com
受影响产品
目前尚无受影响产品记录。 总受影响供应商：0 | 产品：0
CVSS评分
| 分数 | 版本 | 严重等级 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 9.8 | CVSS 3.1 | 严重 | 3.9 | 5.9 | security-advisories@github.com |
解决方案
将RustFS更新到版本1.0.0-alpha.77或更高版本以修复硬编码的身份验证令牌。
- 将RustFS更新到版本1.0.0-alpha.77或更新版本。
- 从客户端移除硬编码的静态令牌。
- 从服务器端移除硬编码的静态令牌。
公告、解决方案和工具参考
CWE - 通用缺陷枚举
CVE-2025-68926与以下CWE相关联：
- CWE-287: 不恰当的身份验证
- CWE-798: 使用硬编码凭证
常见攻击模式枚举与分类 (CAPEC)
存储了攻击者利用CVE-2025-68926弱点所采用的常见属性和方法的描述。
- CAPEC-22: 利用客户端的信任
- CAPEC-57: 利用REST对系统资源的信任获取敏感数据
- CAPEC-94: 中间人攻击 (AiTM)
- CAPEC-114: 身份验证滥用
- CAPEC-115: 身份验证绕过
- CAPEC-151: 身份欺骗
- CAPEC-194: 伪造数据源
- CAPEC-593: 会话劫持
- CAPEC-633: 令牌模拟
- CAPEC-650: 向Web服务器上传Web Shell
- CAPEC-70: 尝试常见或默认的用户名和密码
- CAPEC-191: 在可执行文件中读取敏感常量
漏洞历史详情
历史记录详情可用于了解漏洞的演变，并识别可能影响漏洞严重性、可利用性或其他特征的最新更改。
新CVE接收 来源：security-advisories@github.com 时间：2025年12月30日
| 操作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 添加 | 描述 | RustFS是一个用Rust构建的分布式对象存储系统。在1.0.0-alpha.77之前的版本中，RustFS使用硬编码的静态令牌"rustfs rpc"来实现gRPC身份验证。该令牌在源代码仓库中公开暴露，在客户端和服务器端均被硬编码，无法配置且没有令牌轮换机制，并且在所有RustFS部署中普遍有效。任何能够访问gRPC端口的攻击者都可以使用此公开已知的令牌进行身份验证，并执行包括数据销毁、策略操作和集群配置更改在内的特权操作。版本1.0.0-alpha.77包含了针对此问题的修复。 |
|
| 添加 | CVSS V3.1 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | |
| 添加 | CWE | CWE-287 | |
| 添加 | CWE | CWE-798 | |
| 添加 | 参考 | https://github.com/rustfs/rustfs/security/advisories/GHSA-h956-rh7x-ppgj |
漏洞评分详情
CVSS 3.1
- 基础CVSS分数：9.8
| 攻击向量 | 攻击复杂度 | 所需权限 | 用户交互 | 范围 | 机密性影响 | 完整性影响 | 可用性影响 |
|---|---|---|---|---|---|---|---|
| 网络 | 低 | 无 | 无 | 未改变 | 高 | 高 | 高 |