CVE-2026-41145

MinIO yüksək performanslı obyekt saxlama sistemidir. RELEASE.2023-05-18T00-05-36Z versiyasından başlayaraq və RELEASE.2026-04-11T03-20-12Z versiyasına qədər olan dövrdə, MinIO-nun `STREAMING-UNSIGNED-PAYLOAD-TRAILER` kod yolundakı autentifikasiyadan yan keçmə zəifliyi, etibarlı giriş açarını (access key) bilən istənilən istifadəçiyə gizli açarı (secret key) bilmədən və ya etibarlı kriptoqrafik imza təqdim etmədən istənilən bucket-ə ixtiyari obyektlər yazmağa imkan verir. Bütün MinIO tətbiqləri bundan təsirlənir. Hücum üçün yalnız etibarlı giriş açarı (hamıya məlum olan standart `minioadmin` və ya hər hansı bir bucket üzərində WRITE icazəsi olan istənilən açar) və hədəf bucket adı kifayətdir. `PutObjectHandler` və `PutObjectPartHandler` funksiyaları `newUnsignedV4ChunkedReader`-i yalnız `Authorization` başlığının mövcudluğuna əsaslanan imza yoxlama qapısı ilə çağırır. Eyni zamanda, `isPutActionAllowed` funksiyası etibarnamələri ya `Authorization` başlığından, ya da `X-Amz-Credential` sorğu parametrindən çıxarır və tapdığına etibar edir. Hücumçu `Authorization` başlığını buraxır və etibarnamələri eksklüziv olaraq sorğu sətiri vasitəsilə təqdim edir. İmza qapısı `false` kimi qiymətləndirilir, `doesSignatureMatch` heç vaxt çağırılmır və sorğu təqlid edilən giriş açarının icazələri ilə davam edir. Bu, `PutObjectHandler` (standart və tables/warehouse bucket yolları) və `PutObjectPartHandler` (multipart yükləmələr) funksiyalarına təsir göstərir. Açıq qaynaqlı `minio/minio` layihəsinin istifadəçiləri MinIO AIStor `RELEASE.2026-04-11T03-20-12Z` və ya daha yeni versiyaya yüksəltmə etməlidirlər. Yüksəltmə dərhal mümkün deyilsə, yük balanslaşdırıcıda (load balancer) imzalanmamış trailer sorğularını bloklayın. Reverse proxy və ya WAF səviyyəsində `X-Amz-Content-Sha256: STREAMING-UNSIGNED-PAYLOAD-TRAILER` ehtiva edən bütün sorğuları rədd edin. Müştərilər bunun əvəzinə `STREAMING-AWS4-HMAC-SHA256-PAYLOAD-TRAILER` (imzalanmış variant) istifadə edə bilərlər. Alternativ olaraq, WRITE icazələrini məhdudlaşdırın. `s3:PutObject` icazələrini yalnız etibarlı subyektlərlə məhdud edin. Bu, hücum səthini azaltsa da, zəifliyi tam aradan qaldırmır, çünki WRITE icazəsi olan istənilən istifadəçi bunu yalnız öz giriş açarı ilə istismar edə bilər.