CVE-2026-42600
Təsvir
MinIO yüksək performanslı obyekt saxlama sistemidir. RELEASE.2022-07-24T01-54-52Z versiyasından RELEASE.2026-04-14T21-32-45Z versiyasına qədər olan dövrdə, MinIO-nun ReadMultiple internode storage-REST son nöqtəsindəki yol keçidi (path traversal) zəifliyi, klaster kök JWT-sinə sahib olan çağırana yalnız MinIO prosesinin UID-si ilə məhdudlaşdırılmaqla, konfiqurasiya edilmiş disk köklərindən kənardakı faylları oxumağa imkan verir. Hücumçu Bucket sahəsində ../ ardıcıllıqlarını daşıyan msgpack formatında kodlaşdırılmış gövdə ilə POST minio/storage/{drivePath}/v63/rmpl sorğusu göndərir. Server nəticədə alınan yolu O_RDONLY|O_NOATIME parametrləri ilə os.OpenFile vasitəsilə açır və onun məzmununu msgpack cavab axınında qaytarır. Bu zəiflik RELEASE.2026-04-14T21-32-45Z versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- minio minio2026-04-14t21-32-45z və ya daha yeni versiya
- github.com/minio/minio0.0.0-20260414213245 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| minio minio | 2022-07-24t01-54-52z ≤ v < 2026-04-14t21-32-45z | 2026-04-14t21-32-45z |
| github.com/minio/minioGo | 0.0.0-20220724015452 ≤ v < 0.0.0-20260414213245, Aralıq göstərilməyib | 0.0.0-20260414213245 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.