PT-2026-34234
CVE-2026-41145
·
تاريخ النشر
2026-04-14
·
تاريخ التحديث
2026-09-02
الوصف من
CVSS 4.0
8.8
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MinIO بدءًا من RELEASE.2023-05-18T00-05-36Z وحتى RELEASE.2026-04-11T03-20-12Z
الوصف
يوجد ثغرة في تجاوز المصادقة في مسار الكود
STREAMING-UNSIGNED-PAYLOAD-TRAILER. يمكن للمهاجم الذي يمتلك مفتاح وصول صالحًا كتابة كائنات عشوائية إلى أي دلو (bucket) دون الحاجة إلى مفتاح سري أو توقيع تشفير صالح. تحدث هذه المشكلة لأن PutObjectHandler وPutObjectPartHandler يستخدمان newUnsignedV4ChunkedReader مع بوابة التحقق من التوقيع التي تعتمد فقط على رأس Authorization. وفي الوقت نفسه، تقبل دالة isPutActionAllowed بيانات الاعتماد إما من رأس Authorization أو من معلمة الاستعلام X-Amz-Credential. ومن خلال حذف رأس Authorization وتوفير بيانات الاعتماد عبر سلسلة الاستعلام، يتم تجاوز بوابة التوقيع، وتتم معالجة الطلب باستخدام أذونات مفتاح الوصول الذي تم انتحال هويته. ويؤثر هذا على مسارات الحاويات القياسية وحاويات الجداول/المستودعات، بالإضافة إلى عمليات التحميل متعددة الأجزاء.التوصيات
قم بالترقية إلى إصدار MinIO AIStor RELEASE.2026-04-11T03-20-12Z أو أحدث.
قم بحظر الطلبات ذات الملحق غير الموقع (unsigned-trailer) في موزع الحمل عن طريق رفض أي طلب يحتوي على
X-Amz-Content-Sha256: STREAMING-UNSIGNED-PAYLOAD-TRAILER في طبقة الوكيل العكسي أو طبقة WAF.قم بتقييد منح
s3:PutObject على الجهات الموثوقة للحد من أذونات الكتابة (WRITE).قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾