SILO 安全编年史

SILO Server 20261018 正式交付了 SN-2026-015、SN-2026-016 与 SN-2026-017 三项安全修复、细粒度 STS 令牌撤销机制，以及跨 silo、mcli 与 silo-console 的 Go 工具链与依赖库安全更新。Server 20260916 与 20260903 均受影响（20261015 为已被替代的预发布草稿）。 Object Lock：SN-2026-015 与 SN-2026-016 SN-2026-015 与 …

SN-2026-015 与 SN-2026-016 涵盖了在 SILO Server 20261018 中通过 PR #234（14042b5aa）与 PR #235（0d3ba5d4c）修复的两组 S3 Object Lock 合规保留与不可变性漏洞（配套修复设计方案）。虽然删除路径此前已按 CVE-2023-25812 正确校验 s3:BypassGovernanceRetention，但保留期修改路径（PutObjectRetention）与四条原地版本覆写路径仍存在绕过缺陷。 漏洞范围 …

本文汇总随 Server 20260916 与 Console v2.4.1 发布的三项安全修复（SN-2026-012 至 SN-2026-014）及底层依赖安全更新。完整台账索引见安全公告台账。 编号与问题 修复源码 发布状态 SN-2026-012：预签名载荷完整性 Server c4b5e1cb4，PR #177 已随 Server 20260916 发布（RELEASE.2026-09-03T13-18-01Z 及更早版本受影响） SN-2026-013：持久 IAM 撤销 …

SN-2026-011 于 2026-09-13 在 Server 主分支修复（起始提交 123325430），并已随 Server 20260916 正式发布。Server RELEASE.2026-09-03T13-18-01Z 及更早版本均受影响（同期发布的 silo-pkg v3.14.0 与 mcli 20260913 属于依赖库与客户端版本，不包含服务端二进制修复）。 在未修复版本中，持有合法签名 PUT 请求的调用方可以追加未签名的 x-amz-copy-source 请求头，将该 …

本公告汇总随 SILO Server 20260903（RELEASE.2026-09-03T13-18-01Z）发布的五项服务端安全修复，涵盖客户端提供密钥加密（SSE-C）、客户端可控复制请求头、管理端账户/组状态变更鉴权以及显式对象版本删除。SN-2026-006 至 SN-2026-010 为 SILO 安全说明编号，对应从上游 minio/minio 代码基线继承并在发布前审计中修复的权限与密码学边界缺陷。 摘要 编号 触发前置条件 缺陷表现 20260903 修复后行为 …

SN-2026-019 涵盖了 Server 20260804（提交 162ded343 与 672c07a0f，pgsty/silo#39）修复的一类通知子系统配置缺陷：通知解析器与旧版配置迁移代码读写了未在 Default*KVS 中注册的配置键，CheckValidKeys 在校验失败时将包含敏感凭据的原始 key=value 拼入错误消息，且 FetchEnabledTargets 在遇到首个校验错误时会直接中止全部通知目标的加载。随后在 Server …

SN-2026-018 修复了 silo-pkg v3.12.0（提交 62f326d）与 Server 20260804（00a8171cb，pgsty/silo#41）中影响 aws:SourceIp IAM 条件求值、审计日志、桶事件通知及管理端 HTTP 追踪的客户端源 IP 欺骗问题：handlers.GetSourceIP 此前默认无条件信任任意 TCP 对端发来的 X-Forwarded-For、X-Real-IP 与 RFC 7239 Forwarded 请求头；即便管理员显式设 …

SN-2026-004 修复了 silo-pkg v3.11.0（提交 3c24ad1、1f97549、d8b1fa7）与 Server 20260804（97b7d2804；上游参考 minio/minio#20449）中的一处 IAM 资源匹配缺陷：在评估桶级 S3 请求（args.ObjectName == ""）时，Statement.IsAllowed 会固定在桶名末尾拼接 '/' 生成 "bucket/" 作为待匹配资源字符串，导致原本仅面向桶内对象的通配授权（如 Allow …

SN-2026-003 与 SN-2026-005 涵盖了随 Server 20260804（提交 80c2c9d03、2f55347f7、eee05a17c 以及 silo-pkg v3.12.0 提交 2b087a1；pgsty/silo#40、pgsty/silo#53）发布的一组 S3 IAM 策略求值加固： SN-2026-003（80c2c9d03）：当请求未携带 versionId 时，getConditionValues 依然无条件写入了 …

在 S3 API 的 CompleteMultipartUpload 请求中，协议要求完成清单 XML 中的分片号（PartNumber）必须严格递增。直到 Server 20260725 为止，SILO 一直使用 sort.SliceIsSorted 配合严格小于号 < 来校验这一不变量——但这套写法实际上校验的是“非递减序”，会放行 [1, 1] 这类包含相邻重复分片号的列表，导致同一个底层分片在最终对象中被重复拼接。Server 20260804（pgsty/silo#49）将其替换为显式 …

发布状态： 已随 Server 20260804 发布（发行注记） 安全编号： SN-2026-002（安全公告台账） 修复提交： ca7baa670、b6f70ab08、80e8eaa42、1af351a70、a36fd8fff 影响范围： 仅分布式纠删码（distributed erasure）部署；需持有集群 root / 节点间 JWT 前置阅读： CVE-2026-42600 · ReadMultiple 在 CVE-2026-42600 移除 /rmpl（ReadMultiple）端 …

状态： 已发布 首个包含版本： RELEASE.2026-06-18T00-00-00Z 修复提交： 73ac524 GitHub Advisory： GHSA-xh8f-g2qw-gcm7 影响范围： 仅分布式纠删码（distributed erasure）部署；需持有集群 root / 节点间 JWT 节点间 storage-REST 路由 /rmpl（ReadMultiple）的 msgpack 请求体中包含 Bucket、Prefix 与 Files 字段，旧代码未做磁盘根目录包含 …

状态： 已发布 首个包含版本： RELEASE.2026-04-17T00-00-00Z 修复提交： f444b6f37 GitHub Advisory： GHSA-hv4r-mvr4-25vw 在 f444b6f37 之前，查询字符串（query-string）形式的 SigV4 凭据可以进入 STREAMING-UNSIGNED-PAYLOAD-TRAILER 上传流，但旧处理器仅在存在 HTTP Authorization 请求头时才执行签名验证。因此，攻击者只要知道一个有效的 …

状态： 已发布 首个包含版本： RELEASE.2026-04-17T00-00-00Z 修复提交： efb6e5b00 GitHub Advisory： GHSA-9c4q-hq6p-c237 Snowball 自动解包处理器 PutObjectExtractHandler（X-Amz-Meta-Snowball-Auto-Extract: true）此前漏掉了 authTypeStreamingUnsignedTrailer 认证分支。携带伪造签名的 …

状态： 已发布，6 月完成第二轮闭环 初始修复版本： RELEASE.2026-04-17T00-00-00Z 完整修复版本： RELEASE.2026-06-18T00-00-00Z 修复提交： 3252d5b、5dc705936（fd69c89） GitHub Issue： pgsty/silo#25 4 月份的第一轮修复（3252d5b）复用既有的 1 MiB maxCharsPerRecord 常量，同时限制 S3 Select 中的 CSV 与标准 JSON Lines 单条记录长度， …

状态： 已发布 首个包含版本： RELEASE.2026-04-17T00-00-00Z 修复提交： 56fa63b GitHub Issue： pgsty/silo#24 在 56fa63b 之前，普通 PutObject 与 CopyObject 请求可以把客户端传入的 X-Minio-Replication-* 请求头混入内部 X-Minio-Internal-* SSE 与复制元数据，写出复制状态与真实授权路径不符、甚至后续无法读取的对象。 最终修复在默认元数据提取路径中不再接受复制专用 …

状态： 已发布，并经历两轮后续修正 首个包含版本： RELEASE.2026-04-17T00-00-00Z 完整修正版本： RELEASE.2026-06-18T00-00-00Z 修复提交： 3b950f8、18b712d、9e10f6d、f441108、5e40665 GitHub Issue： pgsty/silo#23 AssumeRoleWithLDAPIdentity 的初始漏洞非常直观：LDAP STS 对“用户不存在”与“密码错误”返回不同的错误信息，构成了无需认证即可利用的用 …

状态： 已发布 首个包含版本： RELEASE.2026-04-17T00-00-00Z 影响入口： AssumeRoleWithWebIdentity、AssumeRoleWithClientGrants 修复提交： d24f449 GitHub Issue： pgsty/silo#22 internal/config/identity/openid 的旧实现将 OIDC client_secret 放进了本地 JWT 验签密钥环（keyring），同时允许 HMAC 签名算法 …

状态： 无需代码改动，问题已关闭 GitHub Issue： pgsty/silo#26 关联上游提交： c1a49490（CVE-2025-62506） 对 CVE-2026-32285 的初始排查假设仓库可能仍携带未修复的 github.com/buger/jsonparser，团队甚至一度评估过替换依赖或维护独立分支。但在逐一核对通告引用的上游提交、Go 模块实际解析版本以及符号可达性后，结论完全改变： 外部漏洞库将 CVE-2026-32285 的摘要写成了 jsonparser 漏洞， …

状态： 已继承并发布 首个 SILO 社区版本： RELEASE.2025-12-03T12-00-00Z 上游首个修复版本： RELEASE.2025-10-15T17-29-55Z GitHub Advisory： GHSA-jjjj-jwhf-8rgr 上游修复： minio/minio#21642 带有受限内联会话策略（Session Policy）的服务账号（Service Account）或 STS 临时凭据，原本可以借助“操作自身账号”的管理 API 例外创建一个不带相同限制的新服 …