Vulnerabilidad en lakeFS de treeverse (CVE-2025-68671)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

15/01/2026

Última modificación:

25/02/2026

Descripción

lakeFS es una herramienta de código abierto que transforma el almacenamiento de objetos en repositorios tipo Git. El gateway S3 de lakeFS no valida las marcas de tiempo en las solicitudes autenticadas, lo que permite ataques de repetición. Antes de la 1.75.0, un atacante que captura una solicitud firmada válida (por ejemplo, mediante intercepción de red, registros o sistemas comprometidos) puede repetir esa solicitud hasta que las credenciales sean rotadas, incluso después de que la solicitud esté destinada a expirar. Esta vulnerabilidad está corregida en la 1.75.0.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno