MinIO - CVE-2026-97731

Il s'agit d'une vulnérabilité dans la vérification des signatures AWS Signature Version 4 de MinIO Server.

MinIO Server est un logiciel de stockage objet compatible avec l'API S3 d'Amazon Web Services. Il assure l'hébergement autonome de données sous forme de buckets et d'objets, accessibles via des requêtes HTTP signées selon le protocole AWS Signature Version 4.

La fonction de traitement des en-têtes signés n'énumère que les en-têtes déclarés dans la liste X-Amz-SignedHeaders fournie par le client. Elle ne vérifie jamais l'ensemble des en-têtes réellement présents dans la requête. Un en-tête ajouté à la requête sans figurer dans cette liste n'est donc ni intégré au calcul de signature ni rejeté. Le routeur d'API de MinIO déclenche l'opération CopyObject sur la seule présence de l'en-tête x-amz-copy-source, sans exiger que celui-ci soit signé. Le détenteur d'une URL pré-signée ou d'une requête signée, initialement limitée à l'écriture d'un seul objet, peut ainsi ajouter cet en-tête non signé pour déclencher une copie côté serveur exécutée avec les droits du signataire d'origine.

Elle permet la lecture de tout objet accessible par la clé de signature du détenteur de l'URL, au-delà du périmètre d'écriture initialement accordé.