PT-2026-34231
CVE-2026-40344
·
تاريخ النشر
2026-04-11
·
تاريخ التحديث
2026-09-02
الوصف من
CVSS 4.0
8.8
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MinIO بدءًا من RELEASE.2023-05-18T00-05-36Z وحتى RELEASE.2026-04-11T03-20-12Z
الوصف
يوجد ثغرة لتجاوز المصادقة في معالج الاستخراج التلقائي لـ Snowball
PutObjectExtractHandler. تسمح هذه المشكلة للمستخدم الذي يمتلك مفتاح وصول صالحًا بكتابة كائنات عشوائية إلى أي دلو دون تقديم مفتاح سري أو توقيع تشفير صالح. تحدث هذه الثغرة لأن كتلة switch rAuthType في المعالج تفتقر إلى حالة لـ authTypeStreamingUnsignedTrailer، مما يتسبب في تجاوز عملية التحقق من التوقيع أثناء التنفيذ. يمكن للمهاجم استغلال هذه الثغرة عن طريق إرسال طلب PUT مع تعيين الرأس X-Amz-Content-Sha256 إلى STREAMING-UNSIGNED-PAYLOAD-TRAILER، وتعيين الرأس X-Amz-Meta-Snowball-Auto-Extract إلى true، ورأس Authorization يحتوي على مفتاح وصول صالح مع توقيع مزور.التوصيات
قم بالترقية إلى MinIO AIStor RELEASE.2026-04-11T03-20-12Z أو إصدار أحدث.
حظر طلبات unsigned-trailer عند موزع الحمل عن طريق رفض أي طلب يحتوي على
X-Amz-Content-Sha256: STREAMING-UNSIGNED-PAYLOAD-TRAILER في طبقة الوكيل العكسي أو طبقة WAF.تقييد منح
s3:PutObject على الجهات الموثوقة للحد من أذونات الكتابة (WRITE).قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾