CVE-2026-40344

MinIO yüksek performanslı bir nesne depolama sistemidir. RELEASE.2023-05-18T00-05-36Z sürümünden başlayarak RELEASE.2026-04-11T03-20-12Z sürümüne kadar olan versiyonlarda, MinIO'nun Snowball otomatik çıkarma işleyicisindeki (`PutObjectExtractHandler`) bir kimlik doğrulama atlatma zafiyeti, geçerli bir erişim anahtarını bilen herhangi bir kullanıcının, gizli anahtarı bilmeden veya geçerli bir kriptografik imza sağlamadan herhangi bir kovaya (bucket) rastgele nesneler yazmasına izin verir. Tüm MinIO dağıtımları etkilenmektedir. Saldırı için yalnızca geçerli bir erişim anahtarı (bilinen varsayılan `minioadmin` veya bir kova üzerinde WRITE iznine sahip herhangi bir anahtar) ve hedef kova adı gereklidir. `authTypeStreamingUnsignedTrailer` desteği eklendiğinde, yeni kimlik doğrulama türü `PutObjectHandler` ve `PutObjectPartHandler` içinde işlenmiş ancak `PutObjectExtractHandler` kısmına hiç eklenmemiştir. Snowball otomatik çıkarma işleyicisinin `switch rAuthType` bloğunda `authTypeStreamingUnsignedTrailer` için bir durum bulunmadığından, yürütme sıfır imza doğrulaması ile devam eder. Switch öncesindeki `isPutActionAllowed` çağrısı erişim anahtarını çıkarır ve IAM izinlerini kontrol eder, ancak kriptografik imzayı doğrulamaz. Bir saldırgan; `X-Amz-Content-Sha256: STREAMING-UNSIGNED-PAYLOAD-TRAILER`, `X-Amz-Meta-Snowball-Auto-Extract: true` ve tamamen uydurma bir imza içeren geçerli bir erişim anahtarına sahip `Authorization` başlığıyla bir PUT isteği gönderir. İstek kabul edilir ve tar yükü kovaya çıkarılır. Açık kaynaklı minio/minio projesi kullanıcıları MinIO AIStor RELEASE.2026-04-11T03-20-12Z veya daha yeni bir sürüme yükseltmelidir. Yükseltme hemen mümkün değilse, yük dengeleyici düzeyinde imzasız trailer istekleri engellenmelidir. Ters proxy veya WAF katmanında `X-Amz-Content-Sha256: STREAMING-UNSIGNED-PAYLOAD-TRAILER` içeren tüm istekler reddedilmelidir. İstemciler bunun yerine STREAMING-AWS4-HMAC-SHA256-PAYLOAD-TRAILER (imzalı varyant) kullanabilir. Alternatif olarak, WRITE izinleri kısıtlanmalıdır. `s3:PutObject` yetkileri güvenilir sorumlularla sınırlandırılmalıdır. Bu işlem saldırı yüzeyini azaltsa da, WRITE iznine sahip her kullanıcı bunu yalnızca kendi erişim anahtarıyla istismar edebileceği için zafiyeti tamamen ortadan kaldırmaz.