La clé privée d’hôte Ed25519 intégrée au chart Helm SFTP de SeaweedFS pouvait permettre à un attaquant interceptant ou redirigeant le trafic d’usurper le serveur auprès de clients faisant confiance à cette identité. Le risque concerne les versions de 4.0.388 à celles antérieures à 4.41, dans des conditions de configuration précises ; mettre à niveau vers 4.41 ou une version ultérieure.
Source : NVD — CVE-2026-100413
Analyse technique
La clé était chargée dans un déploiement autonome lorsque SFTP et l’authentification étaient activés, qu’aucun secret de configuration existant n’était fourni, que le chemin de clé hérité était utilisé et qu’aucun signataire Ed25519 ultérieur ne la remplaçait. La source indique que les modes all-in-one par défaut et les déploiements autonomes sans authentification ne chargeaient pas cette clé.
Impact, versions et correctif
Détection / vérification
Examiner les installations utilisant le chart Helm SFTP de SeaweedFS et vérifier si les conditions d’activation du chemin legacy de clé sont réunies.
Action recommandée
Mettre à niveau SeaweedFS vers la version 4.41 ou ultérieure et vérifier la configuration du chart SFTP ainsi que la confiance accordée aux identités d’hôte.
Sources
Priorisation DFS : P3 · 1 source(s).