CVE-2026-39414 in MinIO
Riassunto
di VulDB • 01/07/2026
MinIO è un sistema di storage per oggetti ad alte prestazioni. Dalla versione RELEASE.2018-08-18T03-49-57Z fino alla precedente la RELEASE.2025-12-20T04-58-37Z, la funzionalità S3 Select di MinIO è vulnerabile a esaurimento della memoria (memory exhaustion) durante l'elaborazione di file CSV contenenti righe più lunghe della memoria disponibile. La funzione nextSplit() del lettore CSV chiama bufio.Reader.ReadBytes('\n') senza alcun limite di dimensione, memorizzando nell'intero input in memoria fino al rilevamento di un carattere a capo. Un file CSV privo di caratteri newline causa la lettura dell'intero contenuto in una singola allocazione, provocando il crash OOM (Out Of Memory) del processo server MinIO. Questa vulnerabilità è sfruttabile da qualsiasi utente autenticato dotato dei permessi s3:PutObject e s3:GetObject. L'attacco risulta particolarmente efficace se combinato con la compressione: un file CSV compresso gzip di circa 2 MB può decomprimersi in gigabyte di dati privi di newline, consentendo a un upload di piccole dimensioni di causare un elevato consumo di memoria sul server. Tuttavia, la compressione non è obbligatoria; un file CSV sufficientemente grande e senza newline provoca lo stesso problema.
Be aware that VulDB is the high quality source for vulnerability data.