MinIO heeft een ongeauthenticeerde Object Write via Query-String Credential Signature Bypass in Unsigned-Trailer Uploads

De impact van deze kwetsbaarheid is significant. Een aanvaller die een geldige access key bezit (bijvoorbeeld de standaard minioadmin key of een key met schrijfrechten op een bucket) kan ongeautoriseerd objecten naar elke bucket schrijven. Dit kan leiden tot data-integriteit schendingen, het overschrijven van kritieke bestanden, of het introduceren van kwaadaardige code. De blast radius is groot, aangezien elke MinIO-implementatie die binnen het getroffen versiesbereik valt, kwetsbaar is. Dit soort authenticatie bypassen kunnen leiden tot volledige controle over de dataopslag, vergelijkbaar met scenario's waarbij een aanvaller toegang krijgt tot een database zonder de juiste credentials.

Organizations utilizing MinIO for object storage, particularly those using the default minioadmin access key or those with overly permissive access controls, are at significant risk. Shared hosting environments where multiple users share MinIO buckets are also particularly vulnerable, as a compromised user account could be leveraged to exploit this vulnerability.

• linux / server:

journalctl -u minio -g 'STREAMING-UNSIGNED-PAYLOAD-TRAILER'

• generic web:

curl -I https://<minio_endpoint>/<bucket_name>/<object_name> -H "X-Minio-Access-Key: <valid_access_key>" -H "X-Minio-Signature: "

• linux / server:

lsof -i :9000 | grep minio

1. 2026-04-22Disclosure

   disclosure

2. 2026-04-11Patch

   patch

1. Gereserveerd2026-04-17
2. Gepubliceerd2026-04-22
3. EPSS bijgewerkt2026-04-29

De primaire mitigatie is het upgraden van MinIO naar versie 2026-04-11 of hoger. Indien een upgrade direct niet mogelijk is, overweeg dan het tijdelijk beperken van de rechten van de minioadmin key of andere keys met schrijfrechten. Implementeer een Web Application Firewall (WAF) om verdachte patronen te detecteren en te blokkeren die wijzen op een poging tot authenticatie bypass. Controleer de MinIO-logbestanden op ongebruikelijke activiteit, zoals het schrijven van objecten door gebruikers zonder de juiste credentials. Na de upgrade, verifieer de fix door te proberen een object naar een bucket te schrijven met een access key zonder de bijbehorende secret key. Het zou moeten mislukken.