RustFS is a distributed object storage system built in Rust. Prior to version 1.0.0-alpha.79, he `ImportIam` admin API validates permissions using `ExportIAMAction` instead of `ImportIAMAction`, allowing a principal with export-only IAM permissions to perform import operations. Since importing IAM data performs privileged write actions (creating/updating users, groups, policies, and service accounts), this can lead to unauthorized IAM modification and privilege escalation. Version 1.0.0-alpha.79 fixes the issue.
RustFS distributed object storage system versions prior to 1.0.0-alpha.79 contain a critical permission validation flaw in the ImportIam admin API. The vulnerability incorrectly validates permissions using ExportIAMAction instead of ImportIAMAction, allowing principals with export-only permissions to perform unauthorized IAM import operations including creating/updating users, groups, policies, and service accounts, leading to privilege escalation.
تؤثر هذه الثغرة الأمنية على نظام RustFS للتخزين الموزع حيث تحتوي واجهة ImportIam الإدارية على خلل في منطق التحقق من الصلاحيات. يستخدم النظام بشكل خاطئ صلاحية ExportIAMAction للتحقق من عمليات الاستيراد بدلاً من ImportIAMAction الصحيحة. يمكن للمهاجم الذي يمتلك صلاحيات تصدير IAM فقط استغلال هذا الخلل لتنفيذ عمليات استيراد غير مصرح بها، مما يتيح له إنشاء أو تعديل المستخدمين والمجموعات والسياسات وحسابات الخدمة. يؤدي هذا إلى تصعيد الامتيازات والسيطرة الكاملة على نظام إدارة الهوية والوصول، مع وجود استغلال نشط للثغرة.
يحتوي نظام التخزين الموزع RustFS في الإصدارات السابقة لـ 1.0.0-alpha.79 على ثغرة حرجة في التحقق من الصلاحيات في واجهة ImportIam الإدارية. تقوم الثغرة بالتحقق من الصلاحيات بشكل خاطئ باستخدام ExportIAMAction بدلاً من ImportIAMAction، مما يسمح للمستخدمين الذين لديهم صلاحيات التصدير فقط بتنفيذ عمليات استيراد IAM غير مصرح بها بما في ذلك إنشاء وتحديث المستخدمين والمجموعات والسياسات وحسابات الخدمة، مما يؤدي إلى تصعيد الامتيازات.
1. Immediately upgrade all RustFS instances to version 1.0.0-alpha.79 or later which contains the permission validation fix
2. Conduct comprehensive audit of all IAM operations performed in the past 90 days to identify any unauthorized import activities and review all user accounts, groups, policies, and service accounts for unauthorized modifications
3. Implement principle of least privilege by reviewing and restricting IAM export permissions, enable detailed logging for all IAM operations, and establish continuous monitoring with alerts for suspicious IAM import activities
1. الترقية الفورية لجميع نسخ RustFS إلى الإصدار 1.0.0-alpha.79 أو أحدث الذي يحتوي على إصلاح التحقق من الصلاحيات
2. إجراء مراجعة شاملة لجميع عمليات IAM المنفذة خلال الـ 90 يوماً الماضية لتحديد أي أنشطة استيراد غير مصرح بها ومراجعة جميع حسابات المستخدمين والمجموعات والسياسات وحسابات الخدمة للكشف عن التعديلات غير المصرح بها
3. تطبيق مبدأ الحد الأدنى من الصلاحيات من خلال مراجعة وتقييد صلاحيات تصدير IAM، وتفعيل التسجيل التفصيلي لجميع عمليات IAM، وإنشاء مراقبة مستمرة مع تنبيهات لأنشطة استيراد IAM المشبوهة