CVE-2026-39414 in MinIO
الملخص
بحسب VulDB • 01/07/2026
MinIO هو نظام تخزين كائنات عالي الأداء. من الإصدار RELEASE.2018-08-18T03-49-57Z وحتى قبل RELEASE.2025-12-20T04-58-37Z، تكون ميزة S3 Select في MinIO عرضة لاستنفاد الذاكرة عند معالجة ملفات CSV التي تحتوي على أسطر أطول من الذاكرة المتاحة. تستدعي دالة nextSplit() لقارئ CSV الدالة bufio.Reader.ReadBytes('\n') دون تحديد حجم أقصى، مما يؤدي إلى تخزين المدخلات بالكامل في الذاكرة حتى العثور على سطر جديد (newline). يسبب ملف CSV خالٍ من أحرف الأسطر الجديدة قراءة محتوياته كاملةً في تخصيص ذاكرة واحد، ما يؤدي إلى تعطل عملية خادم MinIO بسبب نفاد الOOM. يمكن استغلال هذه الثغرة بواسطة أي مستخدم مُصادَق عليه يمتلك صلاحيات s3:PutObject وs3:GetObject. تكون الهجمة خاصة العملية عند دمجها مع الضغط: حيث يمكن لفيلم CSV مضغوط بحجم ~2 ميجابايت باستخدام gzip أن يتم فك ضغطه إلى جيجابايت من البيانات دون أسطر جديدة، مما يسمح برفع حجم صغير لإحداث استهلاك كبير للذاكرة على الخادم. ومع ذلك، لا يلزم استخدام الضغط — إذ يكفي ملف CSV غير مضغوط وكبير بما فيه الكفاية وخالٍ من الأسطر الجديدة لتفعيل نفس المشكلة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.