PT-2026-31438
CVE-2026-39414
·
تاريخ النشر
2026-04-07
·
تاريخ التحديث
2026-09-01
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MinIO بدءًا من RELEASE.2018-08-18T03-49-57Z وحتى RELEASE.2025-12-20T04-58-37Z
الوصف
تتعرض ميزة S3 Select في MinIO لنفاد الذاكرة عند معالجة ملفات CSV التي تحتوي على أسطر تتجاوز سعة الذاكرة المتاحة. تستخدم الدالة
nextSplit() داخل قارئ CSV bufio.Reader.ReadBytes(’ ‘) دون قيود على الحجم، مما قد يؤدي إلى تخزين كامل المدخلات مؤقتًا حتى يتم العثور على حرف نهاية السطر. يمكن أن تؤدي ملفات CSV التي تفتقر إلى أحرف أسطر جديدة إلى تحميل محتوى الملف بالكامل في الذاكرة، مما يؤدي إلى تعطل خادم MinIO بسبب نفاد الذاكرة (OOM). يمكن استغلال هذه المشكلة من قبل المستخدمين المصادق عليهم الذين يمتلكون أذونات s3:PutObject وs3:GetObject. يمكن أن يؤدي الضغط إلى تضخيم التأثير، حيث يمكن أن يتم فك ضغط ملف CSV صغير إلى حجم كبير بدون أسطر جديدة، مما يزيد من استهلاك الذاكرة.التوصيات
بالنسبة لإصدارات MinIO من RELEASE.2018-08-18T03-49-57Z وحتى RELEASE.2025-12-20T04-58-37Z، قم بتحديد حجم ملفات CSV التي يتم تحميلها إلى النظام لمنع الاستهلاك المفرط للذاكرة. ضع في اعتبارك تنفيذ التحقق من صحة المدخلات لرفض ملفات CSV التي لا تحتوي على أحرف أسطر جديدة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾