分散ストレージ「RustFS」に認証回避の深刻な脆弱性

分散オブジェクトストレージシステム「RustFS」に脆弱性が明らかとなった。脆弱性を修正したアップデートが提供されている。

「gRPC」を用いた通信における認証トークンの管理に不備があり、認証バイパスが可能となる脆弱性「CVE-2025-68926」が判明したもの。

ソースコード内に認証用の静的トークンである「rustfs rpc」がハードコードされており、設定ファイルで変更する機能なども用意されていなかった。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

開発チームでは、2025年12月30日に「同1.0.0-alpha.78」をリリースし、トークン処理を修正した。

お詫びと訂正：本記事初出時の記載において、修正バージョンに誤りがありました。ご迷惑をおかけした読者、関係者のみなさまにお詫びし、訂正いたします。

（Security NEXT - 2026/01/06 ）ツイート