CVE-2025–68926 解析：RustFS 中的关键硬编码凭证漏洞
Criminal IP 团队
阅读时长约5分钟·刚刚发布
2025年底，开源对象存储解决方案 RustFS 中被披露了一个严重身份验证绕过漏洞 CVE-2025–68926。该漏洞的 CVSS v3.1 评分为 9.8（严重），根源在于一个结构性设计缺陷：一个静态认证令牌被直接硬编码在源代码中。由于此缺陷，能够访问 RustFS 暴露的 gRPC 管理端口的攻击者可以完全绕过身份验证，在无需有效凭证的情况下获得管理员访问权限。鉴于 RustFS 通常用于存储备份、日志和操作数据，利用这一漏洞可直接导致数据完整性受损和服务中断。
本报告分析了 RustFS 中硬编码凭证漏洞的技术根本原因，概述了真实的攻击场景，并探讨了暴露于互联网的存储服务如何成为扩大攻击面的一部分。
漏洞与攻击潜力概述
- 漏洞 ID: CVE-2025–68926
- 受影响产品: RustFS
- 漏洞类型: 硬编码凭证 (CWE-798)
- CVSS v3.1 评分: 9.8 (严重)
- 影响: 身份验证绕过、管理员权限获取
RustFS 内部依赖一个 不可轮换的静态认证令牌，该令牌在客户端和服务器端均被硬编码。所有 RustFS 部署中的此令牌完全相同，且无法通过配置修改。因此，一旦该令牌值通过源代码仓库或公开漏洞分析为人所知，任何 RustFS 实例（无论部署环境如何）都会立即被攻击者访问。
这种架构体现了硬编码凭证的固有风险：当认证密钥嵌入代码、无法轮换且不由运维人员管理时，凭证泄露等同于服务完全沦陷。当 RustFS 基于 gRPC 的管理接口暴露到网络中时，风险进一步放大，攻击门槛显著降低。
真实攻击用例
漏洞公开披露后，攻击场景相对简单明了。攻击者首先通过全网扫描识别出外部暴露的 RustFS gRPC 服务，然后从公开可得的源代码或漏洞分析材料中获取 硬编码的静态认证令牌，并使用该令牌在冒充合法用户的情况下对 gRPC 端口进行身份验证。
一旦认证成功，攻击者就能调用 管理和存储相关的 API。这种访问权限使其能够执行管理操作，例如：
- 读取、修改或删除对象数据
- 更改访问控制策略
- 修改集群配置
在 RustFS 用于存储备份或生产数据的环境中，此类攻击可能从简单的服务沦陷升级为 数据丢失和运营中断，显著放大整体影响。
暴露于互联网的 RustFS 系统：Criminal IP 观察结果
Criminal IP 搜索查询: title: "RustFS"
搜索结果共观察到 252 个 RustFS 实例 可通过公共互联网识别和访问。这些案例通过指示 RustFS 服务存在的 HTTP(S) 响应 得到确认，实例分布主要在中国（108 个）、泰国（86 个）、美国（17 个）、德国（8 个）和中国香港（7 个）。
在其中一个案例中，实例在 TCP 端口 443 (HTTPS) 上返回了 HTTP 200 响应。<title> 值和资源路径证实 RustFS Web 控制台 (/rustfs/console) 可从外部访问。进一步检查显示，RustFS 静态管理 UI 资源通过 nginx 1.14.1 提供，且没有明显的网络级访问限制。这表明一个为内部存储管理设计的服务可能无意中成为公开可见的攻击面。
当与诸如 CVE-2025–68926 之类的结构性认证缺陷相结合时，仅仅是网络可达性就成为可利用性的决定性因素。
补丁进展与防御措施
CVE-2025–68926 已被确认在 2025年12月30日 发布的 RustFS 版本 1.0.0-alpha.78 中修复。在此补丁中，gRPC 认证过程中使用的硬编码静态认证令牌被移除，认证逻辑也被修改。相关细节可通过官方 RustFS GitHub 发布说明和安全公告进行核实。
- 受影响版本: RustFS alpha.13 ~ alpha.77
- 已修复版本: 1.0.0-alpha.78（发布于 2025年12月30日）
关于补丁的详细技术信息和具体修复方法，请参阅官方 RustFS GitHub 发布说明和安全公告。
如果难以应用官方补丁或更新延迟，建议采取以下临时缓解措施：
- 建议立即更新到最新的 RustFS 版本
- 阻止或限制对 gRPC 管理端口的外部访问
- 审查认证相关设置和令牌管理机制
- 持续监控 API 访问日志和异常活动
由于硬编码凭证漏洞的特性，如果未打补丁的版本仍可从外部访问，无论认证控制如何，都可能导致立即被利用。因此，网络隔离和版本升级应作为优先事项。
结论
CVE-2025–68926 展示了一个基本的安全设计缺陷——硬编码凭证——如何能在对象存储系统等核心基础设施中导致严重后果。
使用 RustFS 或运行外部可访问存储服务的组织不应仅仅应用补丁，还应审查 外部可识别的资产和服务暴露状态。从威胁情报的角度来看，将漏洞信息与外部观察数据相结合，可以作为评估真实世界攻击可行性的重要标准。
作为参考，读者还可以查阅关于 MongoBleed (CVE-2025–14847): MongoDB 中的关键内存泄漏与基于 ASM 的缓解 的文章。 CSD0tFqvECLokhw9aBeRqvYjfK15VDrVWYoHFSDYDheEtWAnl1IPRAmDiUGCUgpn1qYqMC9noKGXF3PSYWWxagmxeFhlDuxPVALO3BUSSufXbMILnt+GLTCmfjpwaaWegKZDKExwlqAsLzEQiStJ2PWyfXSj1NnaNAfFVXtB4nw=
