CVE-2026-97731 in MinIO
要約
〜によって VulDB • 2026年09月25日
7aac2a2以前のMinIOでは、リクエストに含まれるすべてのx-amz-*ヘッダーがクライアントから提供されたX-Amz-SignedHeadersリストにも存在するかどうかの検証が行われません。cmd/signature-v4-utils.go内のextractSignedHeaders()関数は主張されたリストのみを反復処理し、実際に受信したヘッダーは列挙されないため、署名されていない状態で到着したヘッダーは正規化リクエストへのハッシュ対象にもならず、拒否もされません。また、cmd/api-router.goではx-amz-copy-sourceの存在に基づいてCopyObjectがディスパッチされるため、単一オブジェクトにスコープされたpresigned PUT URLを保持する攻撃者は、そのヘッダーを変更されていないURLに追加することでサーバーサイドコピーを引き起こすことができます。これは署名者として実行され、署名キーで読み取り可能な任意のオブジェクトのコピーとなります。1つのオブジェクトへの書き込み権限が、そのキーが届くすべてのバケットに対する読み取り権限へと拡大します。Amazon S3は同等のリクエストをHTTP 403 AccessDeniedで拒否します。minio/minio GitHubリポジトリは2026年4月にアーカイブされました; pgsty/siloの1233254より前のバージョンも影響を受けます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.