MinIO possui uma escrita de objeto não autenticada via bypass de assinatura de credencial de string de consulta em uploads de trailer não assinados

A vulnerabilidade de bypass de autenticação no MinIO representa um risco significativo para a segurança dos dados armazenados. Um atacante com acesso a uma chave de acesso válida (como a padrão minioadmin ou uma chave com permissões de escrita em um bucket) pode explorar essa falha para inserir dados maliciosos, substituir arquivos existentes ou até mesmo comprometer a integridade do sistema de armazenamento. A ausência da necessidade de uma chave secreta simplifica significativamente o processo de exploração, tornando-o acessível a um público mais amplo de atacantes. O impacto potencial é a perda de confidencialidade, integridade e disponibilidade dos dados armazenados no MinIO.

Organizations utilizing MinIO for object storage, particularly those using the default minioadmin access key or those with overly permissive access controls, are at significant risk. Shared hosting environments where multiple users share MinIO buckets are also particularly vulnerable, as a compromised user account could be leveraged to exploit this vulnerability.

• linux / server:

journalctl -u minio -g 'STREAMING-UNSIGNED-PAYLOAD-TRAILER'

• generic web:

curl -I https://<minio_endpoint>/<bucket_name>/<object_name> -H "X-Minio-Access-Key: <valid_access_key>" -H "X-Minio-Signature: "

• linux / server:

lsof -i :9000 | grep minio

1. 2026-04-22Disclosure

   disclosure

2. 2026-04-11Patch

   patch

1. Reservado2026-04-17
2. Publicada2026-04-22
3. EPSS atualizado2026-04-29

A mitigação primária para esta vulnerabilidade é atualizar o MinIO para a versão corrigida, 2026-04-11 ou superior. Se a atualização imediata não for possível, considere restringir o acesso à chave minioadmin e revogar quaisquer chaves com permissões de escrita desnecessárias. Implementar regras de firewall para limitar o acesso ao MinIO apenas a fontes confiáveis pode ajudar a reduzir a superfície de ataque. Monitore os logs do MinIO em busca de atividades suspeitas, como tentativas de escrita não autorizadas. Após a atualização, confirme a correção verificando se as tentativas de escrita sem a chave secreta são bloqueadas.