CVE-2026-42600
Açıklama
MinIO yüksek performanslı bir nesne depolama sistemidir. RELEASE.2022-07-24T01-54-52Z sürümünden RELEASE.2026-04-14T21-32-45Z öncesine kadar olan sürümlerde, MinIO'nun ReadMultiple internode storage-REST uç noktasındaki bir path traversal zafiyeti, küme kök JWT'sine sahip bir çağırıcının, yalnızca MinIO işlem UID'si ile sınırlı olmak üzere yapılandırılmış sürücü köklerinin dışındaki dosyaları okumasına izin verir. Saldırgan, Bucket alanında ../ dizileri içeren msgpack kodlu bir gövde ile POST minio/storage/{drivePath}/v63/rmpl isteği gönderir. Sunucu, ortaya çıkan yolu O_RDONLY|O_NOATIME ile os.OpenFile aracılığıyla açar ve içeriğini msgpack yanıt akışında döndürür. Bu zafiyet RELEASE.2026-04-14T21-32-45Z sürümünde giderilmiştir.
Nasıl düzeltilir
- minio minio2026-04-14t21-32-45z ya da sonraki bir sürüm
- github.com/minio/minio0.0.0-20260414213245 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| minio minio | 2022-07-24t01-54-52z ≤ v < 2026-04-14t21-32-45z | 2026-04-14t21-32-45z |
| github.com/minio/minioGo | 0.0.0-20220724015452 ≤ v < 0.0.0-20260414213245, Aralık belirtilmemiş | 0.0.0-20260414213245 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.