Rucio: lỗi xác thực nghiêm trọng cho phép giả mạo tài khoản quản trị

GitHub Advisories công bố lỗi xác thực nghiêm trọng trong Rucio, phần mềm cung cấp API để xác thực và quản lý tài khoản. Hãy xác định nhánh phiên bản đang chạy và nâng cấp lên bản vá tương ứng, đặc biệt nếu API có thể truy cập từ mạng không tin cậy. Đọc advisory của GitHub.

Tổng quan và thông tin kỹ thuật

Lỗi CVE-2026-100397 xuất phát từ việc Rucio chấp nhận SSH challenge token như token xác thực thông thường. Advisory ghi nhận điểm yếu CWE-287 (Improper Authentication) và CWE-305 (Authentication Bypass by Primary Weakness), với điểm CVSS 9.8 theo CVSS 3.1.

Phạm vi ảnh hưởng

Các khoảng phiên bản bị ảnh hưởng và bản vá tương ứng được liệt kê riêng theo từng nhánh:

Cơ chế và tác động

SSH challenge token vốn là nonce ngắn hạn phục vụ quá trình trao đổi khóa SSH, nhưng bị chấp nhận như token xác thực thông thường. Kẻ tấn công chưa xác thực có thể yêu cầu challenge token cho tài khoản bất kỳ qua header, bao gồm tài khoản quản trị như root, rồi dùng token đó truy cập API Rucio với quyền của tài khoản trong thời hạn challenge 10 giây.

Kiểm tra hệ thống

1. Kiểm tra phiên bản gói Rucio được cài đặt trong môi trường Python:

   Sao chép lệnh

   pip show rucio

   Phiên bản cần vá nếu nằm trong một trong các khoảng bị ảnh hưởng. Theo thông báo, bản vá tương ứng trở lên trong cùng nhánh được xem là an toàn.

Khắc phục và giảm thiểu

1. Ưu tiên xác định các phiên bản Rucio đang chạy và nâng cấp gói pip:rucio ngay lên bản vá tương ứng với nhánh: 35.9.1, 38.6.1, 40.4.2 hoặc 41.1.1.

2. Ưu tiên xử lý đặc biệt nếu API có thể truy cập từ mạng không tin cậy.