MinIO में Query-String Credential Signature Bypass के माध्यम से Unauthenticated Object Write है Unsigned-Trailer Uploads में

यह भेद्यता MinIO उपयोगकर्ताओं के लिए गंभीर जोखिम पैदा करती है क्योंकि यह हमलावरों को किसी भी बकेट में मनमाना डेटा लिखने की अनुमति देती है, बशर्ते उनके पास वैध एक्सेस कुंजी हो। यह डेटा चोरी, डेटा भ्रष्टाचार या सिस्टम में दुर्भावनापूर्ण कोड के इंजेक्शन का कारण बन सकता है। हमलावर मौजूदा डेटा को अधिलेखित कर सकते हैं, नए फ़ाइलें बना सकते हैं या मौजूदा फ़ाइलों को संशोधित कर सकते हैं, जिससे डेटा की अखंडता और उपलब्धता से समझौता हो सकता है। चूंकि भेद्यता को केवल एक्सेस कुंजी की आवश्यकता होती है, इसलिए इसका शोषण करना अपेक्षाकृत आसान है, खासकर यदि डिफ़ॉल्ट minioadmin कुंजी का उपयोग किया जा रहा है या यदि किसी बकेट पर WRITE अनुमति वाली कुंजी का उपयोग किया जा रहा है। यह भेद्यता MinIO के उपयोग पर निर्भर करने वाले अनुप्रयोगों और सेवाओं के लिए व्यापक प्रभाव डाल सकती है।

Organizations utilizing MinIO for object storage, particularly those using the default minioadmin access key or those with overly permissive access controls, are at significant risk. Shared hosting environments where multiple users share MinIO buckets are also particularly vulnerable, as a compromised user account could be leveraged to exploit this vulnerability.

• linux / server:

journalctl -u minio -g 'STREAMING-UNSIGNED-PAYLOAD-TRAILER'

• generic web:

curl -I https://<minio_endpoint>/<bucket_name>/<object_name> -H "X-Minio-Access-Key: <valid_access_key>" -H "X-Minio-Signature: "

• linux / server:

lsof -i :9000 | grep minio

1. 2026-04-22Disclosure

   disclosure

2. 2026-04-11Patch

   patch

1. आरक्षित2026-04-17
2. प्रकाशित2026-04-22
3. EPSS अद्यतन2026-04-29

CVE-2026-41145 को कम करने के लिए, MinIO को तुरंत 2026-04-11T03-20-12Z या बाद के संस्करण में अपडेट करना आवश्यक है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी उपाय के रूप में, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके अनधिकृत एक्सेस को रोकने के लिए नियमों को कॉन्फ़िगर कर सकते हैं। यह सुनिश्चित करें कि एक्सेस कुंजियों को सुरक्षित रूप से प्रबंधित किया जाए और डिफ़ॉल्ट कुंजियों का उपयोग न किया जाए। बकेट-स्तरीय अनुमतियों को न्यूनतम आवश्यक स्तर तक सीमित करें। नियमित रूप से MinIO लॉग की निगरानी करें ताकि किसी भी असामान्य गतिविधि का पता लगाया जा सके। अपडेट के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, यह सुनिश्चित करने के लिए कि कोई अनधिकृत ऑब्जेक्ट लेखन नहीं हो रहा है।