CVE-2026-42882

oxyno-zeta/s3-proxy Go dilində yazılmış AWS S3 proksisidir. 5.0.0 versiyasından əvvəl s3-proxy-də autentifikasiya middleware-i və bucket handler arasındakı URL yolunun ziddiyyətli şəkildə şərh edilməsindən qaynaqlanan autentifikasiyadan yan keçmə boşluğu mövcuddur. Autentifikasiya middleware-i resurs yolu nümunələrini faizlə kodlaşdırılmış sorğu URI-si (r.URL.RequestURI()) ilə müqayisə edir, lakin bucket handler S3 obyekt açarlarını dekodlaşdırılmış yoldan (r.URL.Path) qurur. Bu uyğunsuzluq, yol ayırıcısı olmadan çağırılan glob kitabxanası ilə birlikdə (* simvolunun / sərhədləri boyunca uyğunlaşmasına səbəb olur) autentifikasiya olunmamış hücumçulara qorunan S3 ad sahələrindəki obyektlərə yazı yazmağa, onları oxumağa və ya silməyə imkan verir. Eksploatasiya üç texnika vasitəsilə mümkündür: (1) yol keçidi (path traversal) vasitəsilə qorunan marşrutlara çatmaq üçün yol ayırıcılardan kənara çıxan * nümunələrinin istifadəsi (məsələn, /open/foo/drafts/../restricted/), (2) autentifikasiya təbəqəsində çox sayda yol seqmentini tək bir tokendə birləşdirmək üçün faizlə kodlaşdırılmış slash-lardan (%2F) istifadə etmək, halbuki dekodlaşdırılmış forma saxlama təbəqəsində qorunan ad sahəsinə yönəlir, və (3) ** prefiks nümunələri altında nöqtə-nöqtə seqmentlərindən (../) istifadə etmək, burada xam yol açıq marşrutla uyğunlaşarkən, Go-nun URL parser-i bucket handler işə düşməzdən əvvəl keçidi qorunan yola həll edir. Şəbəkə girişinə malik autentifikasiya olunmamış hücumçu, autentifikasiya ilə qorunan S3 ad sahələrindəki obyektlər üzərində icazəsiz PUT, GET və ya DELETE əməliyyatlarını yerinə yetirə bilər. Bu boşluq 5.0.0 versiyasında aradan qaldırılıb.