CVE-2026-39414 in MinIO
Sumário
de VulDB • 01/07/2026
O MinIO é um sistema de armazenamento de objetos de alto desempenho. Desde RELEASE.2018-08-18T03-49-57Z até antes de RELEASE.2025-12-20T04-58-37Z, o recurso S3 Select do MinIO é vulnerável a exaustão de memória ao processar arquivos CSV contendo linhas mais longas que a memória disponível. A função nextSplit() do leitor de CSV chama bufio.Reader.ReadBytes('\n') sem limite de tamanho, armazenando toda a entrada em buffer na memória até encontrar uma nova linha. Um arquivo CSV sem caracteres de nova linha faz com que todo o conteúdo seja lido numa única alocação, provocando um crash por OOM (Out of Memory) no processo do servidor MinIO. Isto é explorável por qualquer utilizador autenticado com permissões s3:PutObject e s3:GetObject. O ataque é particularmente prático quando combinado com compressão: um ficheiro CSV comprimido em gzip de ~2 MB pode decomprimir para gigabytes de dados sem novas linhas, permitindo que um upload pequeno cause grande consumo de memória no servidor. No entanto, a compressão não é necessária — um arquivo CSV descomprimido suficientemente grande e sem novas linhas desencadeia o mesmo problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.