MinIO में बिना प्रमाणीकरण के ऑब्जेक्ट लिखने की अनुमति है, जो अनसाइंड-ट्रेलर अपलोड में हस्ताक्षर सत्यापन की कमी के कारण होती है

यह कमजोरियाँ MinIO डिप्लॉयमेंट के लिए गंभीर जोखिम पैदा करती हैं। एक हमलावर, केवल एक वैध एक्सेस कुंजी (जैसे डिफ़ॉल्ट minioadmin कुंजी या किसी बकेट पर WRITE अनुमति वाली कोई भी कुंजी) और एक लक्ष्य बकेट नाम के साथ, बिना किसी प्रमाणीकरण के बकेट में मनमाना डेटा लिख सकता है। इससे डेटा उल्लंघन, डेटा भ्रष्टाचार और सिस्टम की सुरक्षा से समझौता हो सकता है। हमलावर संवेदनशील जानकारी को ओवरराइट कर सकता है, दुर्भावनापूर्ण फ़ाइलें अपलोड कर सकता है, या सिस्टम को अन्य तरीकों से समझौता कर सकता है। यह कमजोरियों का शोषण लॉग4शेल शोषण पैटर्न के समान है, जहां एक हमलावर प्रमाणीकरण को बायपास करने के लिए एक ज्ञात कमजोरी का फायदा उठाता है।

Organizations utilizing MinIO for object storage, particularly those using the default minioadmin access key or those with overly permissive access key configurations, are at significant risk. Shared hosting environments where multiple users share access keys are especially vulnerable. Legacy MinIO deployments that have not been regularly updated are also at increased risk.

• linux / server:

journalctl -u minio -g 'signature verification failed'

• generic web:

curl -I <minio_endpoint>/<bucket_name>/<object_name>  # Check for unexpected response codes or headers indicating unauthorized access

• linux / server:

lsof -i :9000 | grep minio # Check for MinIO processes listening on the default port

1. 2026-04-22Disclosure

   disclosure

2. 2026-04-11Patch

   patch

1. आरक्षित2026-04-10
2. प्रकाशित2026-04-22
3. EPSS अद्यतन2026-04-29

CVE-2026-40344 के प्रभाव को कम करने के लिए, MinIO को तुरंत 2026-04-11T03-20-12Z या बाद के संस्करण में अपडेट करना आवश्यक है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके अनधिकृत एक्सेस को रोकने के लिए नियमों को कॉन्फ़िगर कर सकते हैं। इसके अतिरिक्त, सुनिश्चित करें कि एक्सेस कुंजियों को सुरक्षित रूप से प्रबंधित किया जाता है और डिफ़ॉल्ट कुंजियों का उपयोग नहीं किया जाता है। MinIO के लिए सुरक्षा ऑडिट और नियमित भेद्यता स्कैनिंग भी महत्वपूर्ण है। अपग्रेड के बाद, यह सत्यापित करें कि प्रमाणीकरण प्रक्रिया ठीक से काम कर रही है और अनधिकृत एक्सेस को रोका जा रहा है।