RustFS는 Rust로 구축된 분산 객체 저장 시스템입니다. 1.0.0-alpha.94 이전에는 `rustfs/src/admin/handlers/event.rs`에 있는 4개의 알림 대상 관리 API 엔드포인트 모두 `validate_admin_request`를 통한 관리 작업 인증을 수행하지 않고 인증(액세스 키 + 세션 토큰)만 검증하는 `check_permissions` 도우미를 사용했습니다. 코드베이스의 다른 모든 관리 핸들러는 특정 `AdminAction`을 사용하여 `validate_admin_request`를 올바르게 호출합니다. 이것은 유일한 관리자 핸들러입니다.
RustFS는 Rust로 구축된 분산 객체 저장 시스템입니다. 1.0.0-alpha.94 이전에는 rustfs/src/admin/handlers/event.rs에 있는 4개의 알림 대상 관리 API 엔드포인트 모두 validate_admin_request를 통한 관리 작업 인증을 수행하지 않고 인증(액세스 키 + 세션 토큰)만 검증하는 check_permissions 도우미를 사용했습니다. 코드베이스의 다른 모든 관리 핸들러는 특정 AdminAction을 사용하여 validate_admin_request를 올바르게 호출합니다. 이는 인증을 건너뛰는 유일한 관리 핸들러 파일입니다. 관리자가 아닌 사용자는 관리자가 정의한 공유 알림 대상을 이름으로 덮어쓸 수 있으며 이로 인해 후속 버킷 이벤트가 공격자가 제어하는 엔드포인트로 전달될 수 있습니다. 이를 통해 사용자 간 이벤트 차단 및 감사 회피가 가능해집니다. 1.0.0-alpha.94에는 패치가 포함되어 있습니다.
왜 이 VPI인가 (설명가능 · 실험적)
VPI 산정 기준
| 영향도 | 83.00 |
| 악용 신호(추가 악용신호 없음) | ×1.00 |
| VPI | 83.00 |
VPI 공식 vpi-v1 기준
| 소스 | CVSS 버전 | 기본 점수 | 심각도 | 벡터 문자열 | 평가일 |
|---|---|---|---|---|---|
| NVDNIST | 3.1 | 8.3 | HIGH | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L | 2026. 04. 23. |
| OSV3rd | 3.1 | 8.3 |
| CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L |
| 2026. 04. 23. |