RustFSに致命的な脆弱性 固定認証文字列“rustfs rpc”が招いた欠陥：セキュリティニュースアラート

RustFSプロジェクトは、「RustFS」に組み込まれていたgRPC通信の認証方式に致命的な設計不備があることを発表した。外部から容易に管理機能に到達可能であり、情報漏えいや破壊的操作が成立する危険性があるという。

[後藤大地，ITmedia]

　RustFSプロジェクトは2025年12月31日（現地時間）、Rust言語で実装された分散オブジェクトストレージソフトウェア「RustFS」に組み込まれていたgRPC通信の認証方式に致命的な設計不備が存在することを公表した。

　RustFSはS3互換APIを通じてオブジェクトの保存や取得、管理する機能を提供する。複数ノードによるクラスタ構成やデータ冗長化を前提とした設計を採用し、可用性と性能の両立を志向している。内部制御や管理操作にはgRPC通信を利用している。

　本件は、特定の文字列を認証情報として固定的に使用する実装に起因しており、ネットワーク経由で到達可能な第三者が正規利用者と同等の権限を得られる状態にあった。影響範囲は広く、管理系API全体が対象となっている。

固定認証文字列“rustfs rpc”が招いた構造的脆弱性

　同問題の根幹は、サーバ側とクライアント側の双方に「rustfs rpc」という同一の認証文字列が直接記述されていた点にある。この文字列は公開リポジトリー内で確認可能であり、導入環境ごとの差異も存在しなかった。設定変更や更新の仕組みも用意されておらず、運用上の対策が困難な構造となっていた。

　検証において、認証情報を付与しない通信や任意の文字列を指定した通信は拒否されるが、該当文字列を指定した通信は正常に処理されることが示された。これにより、外部利用者が管理用インタフェースへ接続できる状態が実証され、設計上の問題が明確となった。

　影響を受ける機能は設定情報の取得や状態確認だけでなく、保存領域の削除や利用者情報の取得、権限設定の変更など多岐にわたる。これらは本来、限定された管理主体のみが扱うべき操作であり、不正利用時の影響は大きい。

　想定される事象としては、保存データの消失や機密情報の取得、設定改変による継続的な侵害などが挙げられる。特別な準備を要さず短時間で実行可能という点も深刻であり、攻撃の成立条件が緩いことが確認されている。

　本件は共通的な安全基準にも抵触しており、認証管理に関する基本原則が満たされていない状態だった。修正は後続版で実施されているが、利用者側でも速やかな更新と構成の見直しが不可欠だと結論付けられている。