注目★★★★★GitHub Advisory
SeaweedFS 4.34 未満に越境読み取り、S3 Gateway の修正を
30秒で把握
- 1SeaweedFS 4.34 未満で S3 gateway の越境オブジェクト読み取りが可能
- 2CVE-2026-55874 は CopyObject と UploadPartCopy に影響
- 34.34 以降でコピー元パス検証を追加し、バケット分離を修正
要約
SeaweedFS の S3 API gateway に、`X-Amz-Copy-Source` ヘッダー経由の path traversal 脆弱性 CVE-2026-55874 がある。`CopyObject` と `UploadPartCopy` で `..` を含むコピー元を指定すると、IAM が認可した宛先バケットを越えて別バケットのオブジェクトを読み出し、自分のバケットへコピーできる。影響範囲は 4.34 未満で、4.30 の修正はリクエスト URL のパスだけを対象にし、同ヘッダーを検証していなかった。4.34 以降はコピー元のバケット名とオブジェクトキーを検証する。直ちに更新できない場合は、リバースプロキシで `..`、`%2e%2e`、バックスラッシュを含む同ヘッダーを拒否する。
あなたへの影響
SeaweedFS 4.34 未満を運用する日本のエンジニアは、次の更新枠で 4.34 以降へ更新し、S3 gateway のアクセスログを確認してください。
推奨：更新までの間は、リバースプロキシで危険な `X-Amz-Copy-Source` を拒否する暫定対策が必要です。