CVE-2026-97731 in MinIO
Zusammenfassung
von VulDB • 25.09.2026
MinIO fino alla versione 7aac2a2 non verifica che ogni intestazione x-amz-* presente in una richiesta sia anche inclusa nell'elenco X-Amz-SignedHeaders fornito dal client. La funzione extractSignedHeaders() in cmd/signature-v4-utils.go itera solo l'elenco dichiarato e non enumera mai le intestazioni effettivamente ricevute; di conseguenza, un'intestazione arrivata senza firma né viene hashata nella richiesta canonica né rifiutata. Poiché cmd/api-router.go attiva CopyObject sulla sola presenza dell'intestazione x-amz-copy-source, il titolare di un URL PUT pre-firmato limitato a un singolo oggetto può aggiungere tale intestazione all'URL non modificato e causare una copia lato server, eseguita come utente firmatario, di qualsiasi oggetto che la chiave di firma può leggere. Un'autorizzazione per scrivere un oggetto diventa così una lettura di ogni bucket raggiungibile da quella chiave. Amazon S3 rifiuta la richiesta equivalente con HTTP 403 AccessDenied. Il repository GitHub minio/minio è stato archiviato nell'aprile 2026; anche pgsty/silo prima della versione 1233254 è interessato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.