MinIO heeft een ongeauthenticeerde Object Write via ontbrekende Signature Verification in Unsigned-Trailer Uploads

Deze kwetsbaarheden hebben een significante impact op MinIO-implementaties. Een aanvaller die een geldige toegangs sleutel bezit (bijvoorbeeld de standaard minioadmin sleutel, of een sleutel met schrijfrechten op een bucket) kan objecten naar willekeurige buckets schrijven, zonder de geheime sleutel te kennen. Dit kan leiden tot data-integriteit schendingen, ongeautoriseerde toegang tot gevoelige informatie en mogelijk tot het compromitteren van de gehele MinIO-omgeving. De kwetsbaarheid is vergelijkbaar met scenario's waarbij een aanvaller ongeautoriseerde toegang krijgt tot een opslagomgeving door misbruik van toegangsrechten. De blast radius is groot, aangezien elke MinIO-implementatie die de genoemde versies gebruikt, kwetsbaar is.

Organizations utilizing MinIO for object storage, particularly those using the default minioadmin access key or those with overly permissive access key configurations, are at significant risk. Shared hosting environments where multiple users share access keys are especially vulnerable. Legacy MinIO deployments that have not been regularly updated are also at increased risk.

• linux / server:

journalctl -u minio -g 'signature verification failed'

• generic web:

curl -I <minio_endpoint>/<bucket_name>/<object_name>  # Check for unexpected response codes or headers indicating unauthorized access

• linux / server:

lsof -i :9000 | grep minio # Check for MinIO processes listening on the default port

1. 2026-04-22Disclosure

   disclosure

2. 2026-04-11Patch

   patch

1. Gereserveerd2026-04-10
2. Gepubliceerd2026-04-22
3. EPSS bijgewerkt2026-04-29

De primaire mitigatie is het upgraden van MinIO naar versie 2026-04-11 of hoger, waar de kwetsbaarheid is verholpen. Indien een upgrade direct niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegangsrechten van de minioadmin sleutel of het implementeren van een Web Application Firewall (WAF) om verdachte verzoeken te blokkeren. Controleer de MinIO-configuratie op onnodige toegangsrechten en implementeer strikte toegangscontroles. Na de upgrade, bevestig de fix door te proberen een object naar een bucket te schrijven met een toegangs sleutel die geen schrijfrechten zou moeten hebben. Dit zou moeten mislukken.