CVE-2026-58273 Evasión de autorización en el endpoint REST de firma de URLs de Rucio
Desde 1.16.1 hasta 35.9.0, 38.6.0 y 41.0.0rc1, el endpoint /credentials/signurl de Rucio lee X-Rucio-Account en lugar de la cuenta almacenada en request.environ['issuer'] por autenticación de token. Cualquier usuario autenticado de bajos privilegios puede enviar root como valor del encabezado y pasar la verificación del permiso get_signed_url exclusivo de root, obteniendo una URL prefirmada de lectura, escritura o borrado para un objeto elegido por el atacante usando credenciales almacenadas de S3, GCS o Swift…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,6 % · percentil 46
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
rucio
>= 1.16.1, < 35.9.0>= 36.0.0, < 38.6.0>= 39.0.0, < 41.0.0rc1
Qué hacer
- Verificá si usás rucio y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.1 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadNinguna
Descripción original
Rucio is a scientific data management framework. From 1.16.1 until 35.9.0, 38.6.0, and 41.0.0rc1, the /credentials/signurl endpoint reads X-Rucio-Account instead of the account stored in request.environ['issuer'] by token authentication. Any authenticated low-privilege user can supply root as the header value and pass the root-only get_signed_url permission check. The server then returns a presigned read, write, or delete URL for an attacker-selected object using stored S3, GCS, or Swift credentials, and X-Rucio-VO can select another tenant in multi-VO deployments. This permits data disclosure, modification, deletion, and cross-tenant access on cloud-backed RSEs. This issue is fixed in versions 35.9.0, 38.6.0, and 41.0.0rc1.
Referencias (7)
- github.com/rucio/rucio/security/advisories/GHSA-5j9r-fx4x-rpvg
- github.com/rucio/rucio/commit/64c0e6a6a93ae88427ff3b7d77532ce08c8a69ec
- github.com/rucio/rucio/commit/8bdc38994a8766658d0314d36afc104c9242c96f
- github.com/rucio/rucio/commit/8d9ba31514e6f5dca32b8c1db4738582cb37ec3a
- github.com/rucio/rucio/releases/tag/35.9.0
- github.com/rucio/rucio/releases/tag/38.6.0
- github.com/rucio/rucio/releases/tag/41.0.0rc1
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.