CVE-2026-97731 in MinIO
요약
\~에 의해 VulDB • 2026. 09. 25.
7aac2a2 버전까지의 MinIO는 요청에 포함된 모든 x-amz-* 헤더가 클라이언트가 제공한 X-Amz-SignedHeaders 목록에도 존재하는지 검증하지 않습니다. cmd/signature-v4-utils.go의 extractSignedHeaders() 함수는 주장된 목록만 반복하며 실제로 도착한 헤더를 열거하지 않으므로, 서명되지 않은 상태로 도착한 헤더는 캐노니컬 요청에 해싱되거나 거부되지도 않습니다. cmd/api-router.go가 x-amz-copy-source의 존재 여부에 따라 CopyObject를 디스패치하기 때문에, 단일 객체에 대해 범위가 지정된 presigned PUT URL을 보유한 사용자는 해당 헤더를 수정되지 않은 URL에 추가하여 서버 측 복사를 유발할 수 있으며, 이는 서명자의 권한으로 실행되어 signing key가 읽을 수 있는 모든 객체를 복사합니다. 하나의 객체에 대한 쓰기 권한은 키가 접근 가능한 모든 버킷의 읽기 권한으로 이어집니다. Amazon S3는 동일한 요청에 대해 HTTP 403 AccessDenied를 반환합니다. minio/minio GitHub 저장소는 2026년 4월에 아카이브되었으며, pgsty/silo 버전 1233254 미만도 영향을 받습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.