PT-2026-37272
CVE-2026-42600
·
تاريخ النشر
2026-04-25
·
تاريخ التحديث
2026-08-31
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MinIO بدءًا من RELEASE.2022-07-24T01-54-52Z وحتى RELEASE.2025-09-07T16-13-09Z
الوصف
تسمح مشكلة تجاوز المسار في نقطة نهاية REST للتخزين بين العقد
ReadMultiple للمهاجم الذي يمتلك JWT جذر المجموعة بقراءة الملفات خارج جذور محركات الأقراص المُعدة. ويؤثر هذا على عمليات النشر ذات المحو الموزع (متعددة العقد)، بينما لا تتأثر عمليات النشر المستقلة ذات العقدة الواحدة. يتطلب الهجوم وجود JWT من نوع HS512 موقّع بـ MINIO ROOT PASSWORD ومفتاح الوصول accessKey مضبوطًا على MINIO ROOT USER.تحدث المشكلة لأن معالج
ReadMultiple في cmd/storage-rest-server.go يقوم بإعادة توجيه الحقول Bucket وPrefix وFiles من نص ReadMultipleReq المشفر بتنسيق msgpack إلى xlStorage.ReadMultiple في cmd/xl-storage.go دون التحقق من صحتها. تقوم الدالة pathJoin بحل مكونات ..، مما يسمح بالوصول إلى أي مسار في نظام الملفات يمكن لعملية MinIO الوصول إليه باستخدام معرّف المستخدم الفريد (UID). يمكن للمهاجم استغلال هذه الثغرة عن طريق إرسال طلب POST إلى ’/minio/storage/{drivePath}/v63/rmpl‘ مع تسلسلات عبور في حقل Bucket.يختلف التأثير حسب طريقة النشر: في الأنظمة المادية (bare-metal)، يقتصر الوصول على الملفات المملوكة لمعرف المستخدم (UID) الخاص بـ MinIO (مثل المفاتيح الخاصة لـ TLS، ومواد مفاتيح KMS/KES)؛ أما في البيئات المعبأة في حاويات التي تعمل بمعرف المستخدم 0، فإنه يسمح بالكشف التعسفي عن نظام ملفات المضيف، بما في ذلك
/etc/shadow ورموز حسابات خدمة Kubernetes.التوصيات
قم بالترقية إلى إصدار MinIO AIStor RELEASE.2024-10-23T19-38-07Z أو أحدث.
قم بتدوير t
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾