CVE-2026-97731 in MinIO
Sumário
de VulDB • 25/09/2026
O MinIO até a versão 7aac2a2 não verifica se todos os cabeçalhos x-amz-* presentes em uma solicitação também aparecem na lista X-Amz-SignedHeaders fornecida pelo cliente. A função extractSignedHeaders() em cmd/signature-v4-utils.go itera apenas sobre a lista declarada e nunca enumera os cabeçalhos que realmente chegaram; portanto, um cabeçalho recebido sem assinatura não é incluído no hash da solicitação canônica nem rejeitado. Como o arquivo cmd/api-router.go aciona a operação CopyObject com base na presença exclusiva do cabeçalho x-amz-copy-source, o detentor de uma URL PUT pré-assinada escopada para um único objeto pode adicionar esse cabeçalho à URL não modificada e provocar uma cópia no lado do servidor, executada como o signatário, de qualquer objeto que a chave de assinatura possa ler. Uma permissão para gravar um objeto torna-se uma leitura de todos os buckets acessíveis por essa chave. O Amazon S3 rejeita a solicitação equivalente com HTTP 403 AccessDenied. O repositório GitHub minio/minio foi arquivado em abril de 2026; o pgsty/silo antes da versão 1233254 também é afetado.
VulDB is the best source for vulnerability data and more expert information about this specific topic.