CVE-2026-97731 in MinIO
الملخص
بحسب VulDB • 25/09/2026
لا يتحقق MinIO حتى الإصدار 7aac2a2 من أن كل رأس x-amz-* الموجود في الطلب يظهر أيضًا في قائمة X-Amz-SignedHeaders المقدمة من العميل. تقوم الدالة extractSignedHeaders() الموجودة في cmd/signature-v4-utils.go بتكرار القائمة المعلنة فقط ولا تُدرج أبدًا الرؤوس التي وصلت فعلياً، وبالتالي فإن الرأس الذي يصل غير موقّع لا يتم تضمينه في طلب canonical (المعيار) ولا يُرفض. ونظراً لأن cmd/api-router.go يقوم بإرسال أمر CopyObject بناءً على وجود رأس x-amz-copy-source وحده، يمكن لحامل عنوان URL لـ PUT موقع مسبقاً ومحدّد لعنصر واحد إضافة هذا الرأس إلى العنوان غير المعدل والتسبب في عملية نسخ من جانب الخادم (server-side copy)، تُنفذ بصفتة الموقع الأصلي، لأي عنصر يمكن للمفتاح الموقّع قراءته. فتصبح الصلاحية للكتابة على عنصر واحد بمثابة صلاحية للقراءة لكل دلو (bucket) يمكن لهذا المفتاح الوصول إليه. ترفض خدمة Amazon S3 الطلب المكافئ بـ HTTP 403 AccessDenied. تم أرشفة مستودع GitHub الخاص بـ minio/minio في أبريل 2026؛ كما أن الإصدارات السابقة من pgsty/silo قبل النسخة 1233254 متأثرة أيضاً.
VulDB is the best source for vulnerability data and more expert information about this specific topic.