PT-2026-26481
CVE-2026-33322
·
تاريخ النشر
2026-03-19
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 4.0
10
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MinIO بدءًا من RELEASE.2022-11-08T05-27-07Z وحتى RELEASE.2026-03-17T21-25-16Z
الوصف
يوجد في MinIO مشكلة تتعلق بخلط خوارزميات JWT في عملية المصادقة عبر OpenID Connect. يمكن للمهاجم الذي يعرف
ClientSecret الخاص بـ OIDC تزوير رموز الهوية والحصول على بيانات اعتماد S3 بأي سياسة، بما في ذلك consoleAdmin. وهذا يسمح للمهاجم بانتحال هوية أي مستخدم، والوصول إلى البيانات داخل نشر MinIO أو تعديلها أو حذفها. الهجوم حتمي ومعدل نجاحه 100%. يجب أن يكون لدى المهاجم إمكانية الوصول إلى ClientSecret الخاص بـ OIDC، والذي قد يوجد في متغيرات البيئة، أو تكوينات OAuth للواجهة الأمامية، أو حزم تطبيقات الأجهزة المحمولة، أو مسارات CI/CD، أو ملفات التكوين المشتركة.التوصيات
قم بالترقية إلى MinIO AIStor RELEASE.2026-03-17T21-25-16Z أو إصدار أحدث.
كحل بديل، تأكد من معاملة
ClientSecret الخاص بـ OIDC على أنه بيانات اعتماد حساسة للغاية وعدم الكشف عنها لأطراف غير موثوق بها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾