CVE-2026-100413
Beschrijving NL
SeaweedFS is een gedistribueerd opslagsysteem voor bestanden en blobs. Van 4.0.388 tot 4.41 heeft de SFTP Helm-grafiek één niet-versleutelde Ed25519 privé-hostsleutel ingebed in k8s/charts/seaweedfs/templates/sftp/sftp-secret.yaml als stringData.seaweedfs_sftp_ssh_private_key. Een standalone implementatie presenteerde die openbare sleutel wanneer sftp.enabled en sftp.enableAuth waar waren, sftp.existingConfigSecret werd niet geleverd, het legacy sftp.sshPrivateKey-pad bleef geselecteerd, een geldige configuratie-ssh Secret toegestaan opstarten en hostKeysFolder bood geen latere Ed25519-ondertekenaar. Een aanvaller die in staat is om clientverkeer om te leiden of te onderscheppen, kan zich voordoen als dat SFTP-eindpunt voor clients die de gepubliceerde hostidentiteit vertrouwden, waardoor wachtwoordreferenties of gegevens die naar het malafide eindpunt zijn verzonden, worden blootgesteld. Standaard alles-in-één en niet-geverifieerde zelfstandige paden hebben de sleutel niet geladen. Dit probleem is opgelost in versie 4.41.
Origineel (Engels) tonen
SeaweedFS is a distributed storage system for files and blobs. From 4.0.388 until 4.41, the SFTP Helm chart embedded one unencrypted Ed25519 private host key in k8s/charts/seaweedfs/templates/sftp/sftp-secret.yaml as stringData.seaweedfs_sftp_ssh_private_key. A standalone deployment presented that public key when sftp.enabled and sftp.enableAuth were true, sftp.existingConfigSecret was not supplied, the legacy sftp.sshPrivateKey path remained selected, a valid config-ssh Secret allowed startup, and hostKeysFolder did not provide a later Ed25519 signer. An attacker able to redirect or intercept client traffic could impersonate that SFTP endpoint to clients that trusted the published host identity, exposing password credentials or data sent to the rogue endpoint. Default all-in-one and non-authenticated standalone paths did not load the key. This issue is fixed in version 4.41.