CVE-2026-41145

MinIO yüksek performanslı bir nesne depolama sistemidir. RELEASE.2023-05-18T00-05-36Z sürümünden başlayarak RELEASE.2026-04-11T03-20-12Z öncesine kadar olan sürümlerde, MinIO'nun `STREAMING-UNSIGNED-PAYLOAD-TRAILER` kod yolundaki bir kimlik doğrulama atlatma zafiyeti, geçerli bir erişim anahtarını bilen herhangi bir kullanıcının, gizli anahtarı bilmeden veya geçerli bir kriptografik imza sağlamadan herhangi bir kovaya (bucket) rastgele nesneler yazmasına izin verir. Tüm MinIO dağıtımları etkilenmektedir. Saldırı için yalnızca geçerli bir erişim anahtarı (bilinen varsayılan `minioadmin` veya bir kova üzerinde WRITE iznine sahip herhangi bir anahtar) ve hedef kova adı gereklidir. `PutObjectHandler` ve `PutObjectPartHandler`, yalnızca `Authorization` başlığının varlığına dayalı bir imza doğrulama kapısı ile `newUnsignedV4ChunkedReader` fonksiyonunu çağırır. Bu sırada `isPutActionAllowed`, kimlik bilgilerini ya `Authorization` başlığından ya da `X-Amz-Credential` sorgu parametresinden çıkarır ve bulduğuna güvenir. Bir saldırgan `Authorization` başlığını hariç tutar ve kimlik bilgilerini yalnızca sorgu dizesi üzerinden sağlar. İmza kapısı `false` olarak değerlendirilir, `doesSignatureMatch` hiçbir zaman çağrılmaz ve istek, taklit edilen erişim anahtarının izinleriyle devam eder. Bu durum `PutObjectHandler` (standart ve tables/warehouse kova yolları) ve `PutObjectPartHandler` (çok parçalı yüklemeler) fonksiyonlarını etkiler. Açık kaynaklı `minio/minio` projesi kullanıcıları, MinIO AIStor `RELEASE.2026-04-11T03-20-12Z` veya daha yeni bir sürüme yükseltmelidir. Yükseltme hemen mümkün değilse, imzasız trailer istekleri yük dengeleyici düzeyinde engellenmelidir. Ters proxy veya WAF katmanında `X-Amz-Content-Sha256: STREAMING-UNSIGNED-PAYLOAD-TRAILER` içeren tüm istekler reddedilmelidir. İstemciler bunun yerine `STREAMING-AWS4-HMAC-SHA256-PAYLOAD-TRAILER` (imzalı varyant) kullanabilir. Alternatif olarak, WRITE izinleri kısıtlanmalıdır. `s3:PutObject` yetkileri güvenilir sorumlularla sınırlandırılmalıdır. Bu işlem saldırı yüzeyini azaltsa da, WRITE izni olan her kullanıcı bunu yalnızca kendi erişim anahtarıyla istismar edebileceği için zafiyeti tamamen ortadan kaldırmaz.