注目★★★★★GitHub Advisory
SeaweedFS に Path Traversal 脆弱性、認証有無で異なる影響・クロスバケットアクセス可能
30秒で把握
- 1SeaweedFS の S3・Iceberg ゲートウェイで Path Traversal 脆弱性・`..` で異バケットアクセス
- 2認証無効なら直接読み書き / 認証有効でも IAM 混同で未認可バケット到達可・テナント分離破綻
- 3ルータの SkipClean(true) 設定と path 検証の回避が原因・パッチ待ちの間はアクセス制限確認推奨
要約
SeaweedFS の S3 API ゲートウェイと Iceberg REST カタログゲートウェイに Path Traversal 脆弱性 (CVE-2026-54917) が存在する。ルータが `SkipClean(true)` で構成されため URL 内の `..` セグメントが生き残り、`/bucket-A/../evil-bucket/key` のようなリクエストで異なるバケットへのアクセスが可能になる。認証無効時は直接的なクロスバケット読み書き、認証有効時は IAM ポリシーの混同により認可されていないバケットへのアクセスが可能となり、テナント分離が破綻する。Iceberg REST カタログの `{prefix}`、`{namespace}`、`{table}` 変数も同じクラスの脆弱性を受ける。
あなたへの影響
SeaweedFS を S3 API ゲートウェイ or Iceberg カタログとして本番運用するチームは。
推奨：認証設定の確認と共に既存アクセスログで `..` 含有パスの確認、ならびに次バージョン公開後の早期パッチ適用を検討すべき。