CVE-2021-21390

Versões do MinIO anteriores à RELEASE.2021-03-17T02-33-02Z

O MinIO é um serviço de armazenamento de objetos de código aberto e de alto desempenho, compatível por API com o serviço de armazenamento em nuvem Amazon S3. A vulnerabilidade permite a modificação MITM (Man-in-the-Middle) de corpos de solicitação cuja integridade deveria ser garantida por assinaturas de blocos. Em uma solicitação PUT usando a codificação aws-chunked, o MinIO normalmente verifica as assinaturas no final de um bloco. Essa verificação pode ser ignorada se o cliente enviar um tamanho de bloco falso que seja muito maior do que os dados reais enviados: o servidor aceita e conclui a solicitação sem nunca chegar ao final do bloco + e, portanto, sem nunca verificar a assinatura do bloco.

Para versões anteriores à RELEASE.2021-03-17T02-33-02Z, atualize para a versão RELEASE.2021-03-17T02-33-02Z ou posterior.

Como solução alternativa temporária, considere evitar o uso de solicitações de upload com assinatura de chunk baseadas na codificação aws-chunked e, em vez disso, use TLS.

Os SDKs do MinIO desativam automaticamente a assinatura de codificação chunked quando o endpoint do servidor é configurado com TLS.