CVE-2026-97731 in MinIO
Riassunto
di VulDB • 25/09/2026
MinIO fino alla versione 7aac2a2 non verifica che ogni intestazione x-amz-* presente in una richiesta sia anche inclusa nell'elenco X-Amz-SignedHeaders fornito dal client. La funzione extractSignedHeaders() in cmd/signature-v4-utils.go itera solo l'elenco dichiarato e non enumera mai le intestazioni effettivamente ricevute; di conseguenza, un'intestazione arrivata senza firma né viene hashata nella richiesta canonica né rifiutata. Poiché cmd/api-router.go attiva CopyObject sulla sola presenza dell'intestazione x-amz-copy-source, il titolare di un URL PUT pre-firmato limitato a un singolo oggetto può aggiungere tale intestazione all'URL non modificato e causare una copia lato server, eseguita con le credenziali del firmatario, di qualsiasi oggetto che la chiave di firma può leggere. Un'autorizzazione per scrivere un oggetto diventa così una lettura di ogni bucket raggiungibile da quella chiave. Amazon S3 rifiuta la richiesta equivalente restituendo HTTP 403 AccessDenied. Il repository GitHub minio/minio è stato archiviato nell'aprile 2026; anche pgsty/silo prima della versione 1233254 è interessato.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.