PT-2026-28605
CVE-2026-34204
·
تاريخ النشر
2026-03-27
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 2.0
7.5
عاليةالمقاييسAV:N/AC:L/Au:S/C:N/I:P/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MinIO السابقة لـ RELEASE.2026-03-26T21-24-40Z
الوصف
يسمح عيب في الدالة
extractMetadataFromMime() لأي مستخدم تمت مصادقته ولديه إذن s3:PutObject بإدخال بيانات تعريف التشفير الداخلية من جانب الخادم إلى الكائنات. ويتم تحقيق ذلك عن طريق إرسال رؤوس X-Minio-Replication-* مصممة خصيصًا في طلب PutObject عادي. ويقوم الخادم بتعيين هذه الرؤوس بشكل غير صحيح إلى بيانات تعريف التشفير الداخلية دون التحقق من شرعية الطلب. تصبح الكائنات المكتوبة بهذه الطريقة غير قابلة للقراءة بشكل دائم عبر واجهة برمجة تطبيقات S3. ظهرت هذه المشكلة في الالتزام 468a9fae83e965ecefa1c1fdc2fc57b84ece95b0 بتاريخ 2024-03-28. المكون المتأثر هو cmd/handler-utils.go.التوصيات
قم بالترقية إلى إصدار MinIO AIStor RELEASE.2026-03-26T21-24-40Z أو أحدث.
إذا لم يكن الترقية ممكنة على الفور، فقم بتقييد رؤوس النسخ المتماثل عند الوكيل العكسي أو موزع الحمل عن طريق حذف أو رفض أي طلب يحتوي على رؤوس
X-Minio-Replication-Server-Side-Encryption-* التي لا تحمل أيضًا X-Minio-Source-Replication-Request.قم بمراجعة سياسات IAM وقصر منح
s3:PutObject على الجهات الموثوقة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾