MinIO présente une écriture d'objet non authentifiée via une absence de vérification de signature dans les téléchargements de remorque non signés

L'impact de ces vulnérabilités est significatif. Un attaquant peut exploiter ces failles pour compromettre l'intégrité des données stockées dans MinIO. L'attaquant n'a besoin que d'une clé d'accès valide (par exemple, la clé par défaut minioadmin ou une clé disposant des permissions d'écriture sur un bucket) et du nom du bucket cible. Il est possible d'injecter des fichiers malveillants, de modifier des données existantes ou même de remplacer des fichiers critiques. La simplicité de l'exploitation rend cette vulnérabilité particulièrement dangereuse. Le risque de compromission des données est élevé, et une exploitation réussie pourrait entraîner une perte de confidentialité, d'intégrité et de disponibilité des données.

Organizations utilizing MinIO for object storage, particularly those using the default minioadmin access key or those with overly permissive access key configurations, are at significant risk. Shared hosting environments where multiple users share access keys are especially vulnerable. Legacy MinIO deployments that have not been regularly updated are also at increased risk.

• linux / server:

journalctl -u minio -g 'signature verification failed'

• generic web:

curl -I <minio_endpoint>/<bucket_name>/<object_name>  # Check for unexpected response codes or headers indicating unauthorized access

• linux / server:

lsof -i :9000 | grep minio # Check for MinIO processes listening on the default port

1. 2026-04-22Disclosure

   disclosure

2. 2026-04-11Patch

   patch

1. Réservé2026-04-10
2. Publiée2026-04-22
3. EPSS mis à jour2026-04-29

La mitigation principale consiste à mettre à jour MinIO vers la version corrigée RELEASE.2026-04-11 ou ultérieure. Si la mise à jour n'est pas immédiatement possible, il est recommandé de restreindre l'accès aux buckets et de surveiller attentivement les journaux d'accès pour détecter toute activité suspecte. En attendant la mise à jour, envisagez de désactiver temporairement la fonctionnalité STREAMING-UNSIGNED-PAYLOAD-TRAILER si elle n'est pas essentielle. Il n'existe pas de règles WAF spécifiques connues pour cette vulnérabilité, mais une surveillance accrue des requêtes PUT avec des signatures manquantes peut aider à la détection. Après la mise à jour, vérifiez l'intégrité des données et examinez les journaux pour détecter toute activité suspecte.