PT-2026-26758
CVE-2026-33419
·
تاريخ النشر
2026-03-20
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 4.0
9.1
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MinIO السابقة لـ RELEASE.2026-03-17T21-25-16Z
الوصف
نقطة النهاية
AssumeRoleWithLDAPIdentity في خدمة الرموز الأمنية (STS) لـ MinIO AIStor معرضة لهجمات القوة الغاشمة على بيانات اعتماد LDAP. ويرجع ذلك إلى مزيج من استجابات الأخطاء المميزة التي تسمح بتعداد أسماء المستخدمين وغياب الحد الأقصى لعدد محاولات المصادقة. يمكن لمهاجم شبكي غير مصدق أن يقوم بتعداد أسماء مستخدمي LDAP الصالحة ثم يحاول تخمين كلمات المرور بشكل غير محدود للحصول على بيانات اعتماد STS مؤقتة على غرار AWS، مما قد يتيح له الوصول إلى سلال S3 وكائنات الضحية. تتضمن المشكلة نقطتي ضعف: تعداد المستخدمين عبر رسائل الخطأ المميزة وغياب الحد الأقصى لعدد محاولات المصادقة على نقاط نهاية مصادقة STS. يتيح استغلال هذه الثغرة للمهاجم تعداد أسماء المستخدمين الصالحة في LDAP، وتنفيذ هجمات القوة الغاشمة عالية السرعة على كلمات المرور، وفي حالة النجاح، الحصول على بيانات اعتماد STS مؤقتة على غرار AWS مع وصول كامل إلى موارد S3 الخاصة بالمستخدم الضحية. تتضمن هذه المشكلة نقطة نهاية واجهة برمجة التطبيقات (API) /Action=AssumeRoleWithLDAPIdentity.التوصيات
قم بالترقية إلى MinIO AIStor RELEASE.2026-03-17T21-25-16Z أو إصدار أحدث.
إذا لم تكن الترقية ممكنة على الفور، فقم بتطبيق تقييد معدل الطلبات على مستوى الشبكة على الطلبات الموجهة إلى نقطة النهاية
/Action=AssumeRoleWithLDAPIdentity.إذا لم يكن الترقية ممكنًا على الفور، فقم بتقييد الوصول إلى نقطة نهاية STS على الشبكات/نطاقات عناوين IP الموثوق بها فقط.
إذا لم يكن الترقية ممكنًا على الفور، فقم بتكوين
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾