安全
22 篇-
SILO 20261018 发布说明
Server 20261018 已正式发布，提供 amd64 与 arm64 版本化归档、原生软件包及 Docker Hub 标准／distroless 镜像。本版本接替 Server 20260916（20261015 保留为已撤回的历史草稿记录）。 身份 值 发行标签 RELEASE.2026-10-18T00-00-00Z 软件包版本 20261018000000.0.0 发行源码 0cd388c666f8211f552604ae73448a066e9c25ce 上一正式版源码 …
Server 20261018 已正式发布，提供 amd64 与 arm64 版本化归档、原生软件包及 Docker Hub 标准／distroless 镜像。本版本接替 Server 20260916（20261015 保留为已撤回的历史草稿记录）。 身份 值 发行标签 RELEASE.2026-10-18T00-00-00Z 软件包版本 20261018000000.0.0 发行源码 0cd388c666f8211f552604ae73448a066e9c25ce 上一正式版源码 …
-
SILO、KES 与 OpenBao：密钥归属和恢复
SILO 通过 PGSTY KES（MINIO_KMS_KES_ENDPOINT）接入外部密钥管理系统。当前最新版本为 KES 20261026（使用 Go 1.27.3 构建并更新云服务依赖，保持本文的 API、配置与密钥格式不变）；此前的 PGSTY KES 20261018（源码 2f7e741db905）完成了将 AWS Secrets Manager 后端迁移至 AWS SDK for Go v2 的主体改造。 三个服务的职责边界 服务 负责内容 调用对象 SILO 对象字节流与对象加 …
SILO 通过 PGSTY KES（MINIO_KMS_KES_ENDPOINT）接入外部密钥管理系统。当前最新版本为 KES 20261026（使用 Go 1.27.3 构建并更新云服务依赖，保持本文的 API、配置与密钥格式不变）；此前的 PGSTY KES 20261018（源码 2f7e741db905）完成了将 AWS Secrets Manager 后端迁移至 AWS SDK for Go v2 的主体改造。 三个服务的职责边界 服务 负责内容 调用对象 SILO 对象字节流与对象加 …
-
十月安全更新：Object Lock、管理凭据与 JWK 解析
SILO Server 20261018 正式交付了 SN-2026-015、SN-2026-016 与 SN-2026-017 三项安全修复、细粒度 STS 令牌撤销机制，以及跨 silo、mcli 与 silo-console 的 Go 工具链与依赖库安全更新。Server 20260916 与 20260903 均受影响（20261015 为已被替代的预发布草稿）。 Object Lock：SN-2026-015 与 SN-2026-016 SN-2026-015 与 …
SILO Server 20261018 正式交付了 SN-2026-015、SN-2026-016 与 SN-2026-017 三项安全修复、细粒度 STS 令牌撤销机制，以及跨 silo、mcli 与 silo-console 的 Go 工具链与依赖库安全更新。Server 20260916 与 20260903 均受影响（20261015 为已被替代的预发布草稿）。 Object Lock：SN-2026-015 与 SN-2026-016 SN-2026-015 与 …
-
SILO 20261015：已替代草稿记录
状态：已被正式版 Server 20261018 替代。 RELEASE.2026-10-15T00-00-00Z 曾于 2026-10-15 13:52:28（UTC+8）短暂公开，随后撤回为 Draft 并由包含完整十月修复栈的 20261018 接替。本页归档该候选版的源码范围与制品验收记录，新部署与升级请直接使用 20261018。 历史标签：RELEASE.2026-10-15T00-00-00Z 软件包版本：20261015000000.0.0 候选源码 …
状态：已被正式版 Server 20261018 替代。 RELEASE.2026-10-15T00-00-00Z 曾于 2026-10-15 13:52:28（UTC+8）短暂公开，随后撤回为 Draft 并由包含完整十月修复栈的 20261018 接替。本页归档该候选版的源码范围与制品验收记录，新部署与升级请直接使用 20261018。 历史标签：RELEASE.2026-10-15T00-00-00Z 软件包版本：20261015000000.0.0 候选源码 …
-
九月安全修复：载荷完整性、IAM 撤销与 Console 分享
本文汇总随 Server 20260916 与 Console v2.4.1 发布的三项安全修复（SN-2026-012 至 SN-2026-014）及底层依赖安全更新。完整台账索引见安全公告台账。 编号与问题 修复源码 发布状态 SN-2026-012：预签名载荷完整性 Server c4b5e1cb4，PR #177 已随 Server 20260916 发布（RELEASE.2026-09-03T13-18-01Z 及更早版本受影响） SN-2026-013：持久 IAM 撤销 …
本文汇总随 Server 20260916 与 Console v2.4.1 发布的三项安全修复（SN-2026-012 至 SN-2026-014）及底层依赖安全更新。完整台账索引见安全公告台账。 编号与问题 修复源码 发布状态 SN-2026-012：预签名载荷完整性 Server c4b5e1cb4，PR #177 已随 Server 20260916 发布（RELEASE.2026-09-03T13-18-01Z 及更早版本受影响） SN-2026-013：持久 IAM 撤销 …
-
SigV4 签名头覆盖边界：拒绝未签名的 x-amz-* 请求头
本文记录 SILO 的未签名请求头覆盖修复（核心提交 123325430，经 PR #173 合入，安全通告编号 SN-2026-011）以及 PR #177 中的后续签名与载荷校验修复（安全通告编号 SN-2026-012）。上述修复已随 Server 20260916 发布。该漏洞由 Oren Yomtov 报告，并在本地预签名与 Authorization 请求头两条 SigV4 路径上复现。 核心结论（TL;DR） 预签名 PUT URL 可以只对 host 一个请求头签名。此前 …
本文记录 SILO 的未签名请求头覆盖修复（核心提交 123325430，经 PR #173 合入，安全通告编号 SN-2026-011）以及 PR #177 中的后续签名与载荷校验修复（安全通告编号 SN-2026-012）。上述修复已随 Server 20260916 发布。该漏洞由 Oren Yomtov 报告，并在本地预签名与 Authorization 请求头两条 SigV4 路径上复现。 核心结论（TL;DR） 预签名 PUT URL 可以只对 host 一个请求头签名。此前 …
-
SILO 20260903 安全说明：SN-2026-006 至 010
本公告汇总随 SILO Server 20260903（RELEASE.2026-09-03T13-18-01Z）发布的五项服务端安全修复，涵盖客户端提供密钥加密（SSE-C）、客户端可控复制请求头、管理端账户/组状态变更鉴权以及显式对象版本删除。SN-2026-006 至 SN-2026-010 为 SILO 安全说明编号，对应从上游 minio/minio 代码基线继承并在发布前审计中修复的权限与密码学边界缺陷。 摘要 编号 触发前置条件 缺陷表现 20260903 修复后行为 …
本公告汇总随 SILO Server 20260903（RELEASE.2026-09-03T13-18-01Z）发布的五项服务端安全修复，涵盖客户端提供密钥加密（SSE-C）、客户端可控复制请求头、管理端账户/组状态变更鉴权以及显式对象版本删除。SN-2026-006 至 SN-2026-010 为 SILO 安全说明编号，对应从上游 minio/minio 代码基线继承并在发布前审计中修复的权限与密码学边界缺陷。 摘要 编号 触发前置条件 缺陷表现 20260903 修复后行为 …
-
显式版本删除现在要求 DeleteObjectVersion
自 Server 20260903 起（pgsty/silo#104，对应 Issue #58），SILO 按照删除请求实际执行的操作类型选择所需权限： 请求 所需权限 未携带 versionId s3:DeleteObject 版本 UUID s3:DeleteObjectVersion 显式 versionId=null s3:DeleteObjectVersion DeleteObjects 对每个 XML 条目独立应用映射 此前所有情况均要求 s3:DeleteObject，而 …
自 Server 20260903 起（pgsty/silo#104，对应 Issue #58），SILO 按照删除请求实际执行的操作类型选择所需权限： 请求 所需权限 未携带 versionId s3:DeleteObject 版本 UUID s3:DeleteObjectVersion 显式 versionId=null s3:DeleteObjectVersion DeleteObjects 对每个 XML 条目独立应用映射 此前所有情况均要求 s3:DeleteObject，而 …
-
鉴权前不做 I/O，Header 不授予权限
本文记录通过 PR #101（提交 938603458 至 04b097fd9）合入 SILO、编号为 SN-2026-008 并随 Server 20260903 发布的 CORS 热路径与复制请求信任边界修复。 概览 两个表面上互不相关的缺陷，实际上源于同一个架构层面的设计失误： 任何携带 Origin 请求头的 HTTP 请求都会促使最外层 CORS 中间件把 URL 第一段路径当成存储桶名称，并在身份认证之前同步从磁盘加载该桶的元数据。 任何携带 …
本文记录通过 PR #101（提交 938603458 至 04b097fd9）合入 SILO、编号为 SN-2026-008 并随 Server 20260903 发布的 CORS 热路径与复制请求信任边界修复。 概览 两个表面上互不相关的缺陷，实际上源于同一个架构层面的设计失误： 任何携带 Origin 请求头的 HTTP 请求都会促使最外层 CORS 中间件把 URL 第一段路径当成存储桶名称，并在身份认证之前同步从磁盘加载该桶的元数据。 任何携带 …
-
一个端点，两种权限：彻底分离用户与组状态
本文记录 上游议题 minio/minio#21478、SILO PR #73（提交 58735ee38 / 2e2377d1c）以及 set-group-status 组状态权限善后提交（229fe2b3c）的鉴权设计与验证记录。上述修复已随 Server 20260903 发布。 太长不看（TL;DR） SILO 同时定义了 admin:EnableUser 与 admin:DisableUser 两项策略权限，但共用的 set-user-status 处理函数过去无论目标状态是什么，都固定 …
本文记录 上游议题 minio/minio#21478、SILO PR #73（提交 58735ee38 / 2e2377d1c）以及 set-group-status 组状态权限善后提交（229fe2b3c）的鉴权设计与验证记录。上述修复已随 Server 20260903 发布。 太长不看（TL;DR） SILO 同时定义了 admin:EnableUser 与 admin:DisableUser 两项策略权限，但共用的 set-user-status 处理函数过去无论目标状态是什么，都固定 …
-
silo-pkg 3.12.0 正式发布
发布日期： 2026-08-24 · 版本： v3.12.0 · 提交： 2b087a1 · 仓库： pgsty/silo-pkg 3.12.0 是直接从主线发布的中版本，包含两条主线：第一，为“只有 ARN 命名空间前缀、却没有指定任何资源”的策略增加严格写入保护；第二，把维护基线推进到 Go 1.27 与 etcd 3.7。它新增两个导出的检查/校验方法，将验证过的消费者下限提高到 Go 1.26；同时也是第一个由 SILO 服务端（eee05a17c，SN-2026-005，随 SILO …
发布日期： 2026-08-24 · 版本： v3.12.0 · 提交： 2b087a1 · 仓库： pgsty/silo-pkg 3.12.0 是直接从主线发布的中版本，包含两条主线：第一，为“只有 ARN 命名空间前缀、却没有指定任何资源”的策略增加严格写入保护；第二，把维护基线推进到 Go 1.27 与 etcd 3.7。它新增两个导出的检查/校验方法，将验证过的消费者下限提高到 Go 1.26；同时也是第一个由 SILO 服务端（eee05a17c，SN-2026-005，随 SILO …
-
只预览文本，绝不执行：SILO Console 文本预览设计
SILO Console 支持预览图片、PDF、音频和视频，但在 v2.1.1 中却无法直接查看日常运维最常检查的小型日志、纯文本、JSON 与 XML 对象。即使对象保存了准确的 Content-Type，前端也会在选择预览渲染器之前将其判定为不支持。 恢复旧版浏览器原生 <iframe> 预览虽然简单，却是错误的修法。存储桶中的对象内容完全由上传者控制；一旦将其作为同源 HTML 或 XML 文档加载，一个便利的预览功能就会退化为同源脚本执行边界。 随 Console 2.2.0 交付的设计 …
SILO Console 支持预览图片、PDF、音频和视频，但在 v2.1.1 中却无法直接查看日常运维最常检查的小型日志、纯文本、JSON 与 XML 对象。即使对象保存了准确的 Content-Type，前端也会在选择预览渲染器之前将其判定为不支持。 恢复旧版浏览器原生 <iframe> 预览虽然简单，却是错误的修法。存储桶中的对象内容完全由上传者控制；一旦将其作为同源 HTML 或 XML 文档加载，一个便利的预览功能就会退化为同源脚本执行边界。 随 Console 2.2.0 交付的设计 …
-
SN-2026-002：内部节点路径包含审计——补完 CVE-2026-42600 欠下的那笔账
发布状态： 已随 Server 20260804 发布（发行注记） 安全编号： SN-2026-002（安全公告台账） 修复提交： ca7baa670、b6f70ab08、80e8eaa42、1af351a70、a36fd8fff 影响范围： 仅分布式纠删码（distributed erasure）部署；需持有集群 root / 节点间 JWT 前置阅读： CVE-2026-42600 · ReadMultiple 在 CVE-2026-42600 移除 /rmpl（ReadMultiple）端 …
发布状态： 已随 Server 20260804 发布（发行注记） 安全编号： SN-2026-002（安全公告台账） 修复提交： ca7baa670、b6f70ab08、80e8eaa42、1af351a70、a36fd8fff 影响范围： 仅分布式纠删码（distributed erasure）部署；需持有集群 root / 节点间 JWT 前置阅读： CVE-2026-42600 · ReadMultiple 在 CVE-2026-42600 移除 /rmpl（ReadMultiple）端 …
-
CVE-2026-42600：ReadMultiple Storage-REST 路径穿越
状态： 已发布 首个包含版本： RELEASE.2026-06-18T00-00-00Z 修复提交： 73ac524 GitHub Advisory： GHSA-xh8f-g2qw-gcm7 影响范围： 仅分布式纠删码（distributed erasure）部署；需持有集群 root / 节点间 JWT 节点间 storage-REST 路由 /rmpl（ReadMultiple）的 msgpack 请求体中包含 Bucket、Prefix 与 Files 字段，旧代码未做磁盘根目录包含 …
状态： 已发布 首个包含版本： RELEASE.2026-06-18T00-00-00Z 修复提交： 73ac524 GitHub Advisory： GHSA-xh8f-g2qw-gcm7 影响范围： 仅分布式纠删码（distributed erasure）部署；需持有集群 root / 节点间 JWT 节点间 storage-REST 路由 /rmpl（ReadMultiple）的 msgpack 请求体中包含 Bucket、Prefix 与 Files 字段，旧代码未做磁盘根目录包含 …
-
CVE-2026-41145：Unsigned-Trailer 查询认证绕过
状态： 已发布 首个包含版本： RELEASE.2026-04-17T00-00-00Z 修复提交： f444b6f37 GitHub Advisory： GHSA-hv4r-mvr4-25vw 在 f444b6f37 之前，查询字符串（query-string）形式的 SigV4 凭据可以进入 STREAMING-UNSIGNED-PAYLOAD-TRAILER 上传流，但旧处理器仅在存在 HTTP Authorization 请求头时才执行签名验证。因此，攻击者只要知道一个有效的 …
状态： 已发布 首个包含版本： RELEASE.2026-04-17T00-00-00Z 修复提交： f444b6f37 GitHub Advisory： GHSA-hv4r-mvr4-25vw 在 f444b6f37 之前，查询字符串（query-string）形式的 SigV4 凭据可以进入 STREAMING-UNSIGNED-PAYLOAD-TRAILER 上传流，但旧处理器仅在存在 HTTP Authorization 请求头时才执行签名验证。因此，攻击者只要知道一个有效的 …
-
CVE-2026-40344：Snowball 自动解包认证绕过
状态： 已发布 首个包含版本： RELEASE.2026-04-17T00-00-00Z 修复提交： efb6e5b00 GitHub Advisory： GHSA-9c4q-hq6p-c237 Snowball 自动解包处理器 PutObjectExtractHandler（X-Amz-Meta-Snowball-Auto-Extract: true）此前漏掉了 authTypeStreamingUnsignedTrailer 认证分支。携带伪造签名的 …
状态： 已发布 首个包含版本： RELEASE.2026-04-17T00-00-00Z 修复提交： efb6e5b00 GitHub Advisory： GHSA-9c4q-hq6p-c237 Snowball 自动解包处理器 PutObjectExtractHandler（X-Amz-Meta-Snowball-Auto-Extract: true）此前漏掉了 authTypeStreamingUnsignedTrailer 认证分支。携带伪造签名的 …
-
CVE-2026-39414：S3 Select 超大记录与 SIMD 快路径绕过
状态： 已发布，6 月完成第二轮闭环 初始修复版本： RELEASE.2026-04-17T00-00-00Z 完整修复版本： RELEASE.2026-06-18T00-00-00Z 修复提交： 3252d5b、5dc705936（fd69c89） GitHub Issue： pgsty/silo#25 4 月份的第一轮修复（3252d5b）复用既有的 1 MiB maxCharsPerRecord 常量，同时限制 S3 Select 中的 CSV 与标准 JSON Lines 单条记录长度， …
状态： 已发布，6 月完成第二轮闭环 初始修复版本： RELEASE.2026-04-17T00-00-00Z 完整修复版本： RELEASE.2026-06-18T00-00-00Z 修复提交： 3252d5b、5dc705936（fd69c89） GitHub Issue： pgsty/silo#25 4 月份的第一轮修复（3252d5b）复用既有的 1 MiB maxCharsPerRecord 常量，同时限制 S3 Select 中的 CSV 与标准 JSON Lines 单条记录长度， …
-
CVE-2026-34204：复制元数据注入
状态： 已发布 首个包含版本： RELEASE.2026-04-17T00-00-00Z 修复提交： 56fa63b GitHub Issue： pgsty/silo#24 在 56fa63b 之前，普通 PutObject 与 CopyObject 请求可以把客户端传入的 X-Minio-Replication-* 请求头混入内部 X-Minio-Internal-* SSE 与复制元数据，写出复制状态与真实授权路径不符、甚至后续无法读取的对象。 最终修复在默认元数据提取路径中不再接受复制专用 …
状态： 已发布 首个包含版本： RELEASE.2026-04-17T00-00-00Z 修复提交： 56fa63b GitHub Issue： pgsty/silo#24 在 56fa63b 之前，普通 PutObject 与 CopyObject 请求可以把客户端传入的 X-Minio-Replication-* 请求头混入内部 X-Minio-Internal-* SSE 与复制元数据，写出复制状态与真实授权路径不符、甚至后续无法读取的对象。 最终修复在默认元数据提取路径中不再接受复制专用 …
-
CVE-2026-33419：LDAP STS 用户枚举与限流链演进
状态： 已发布，并经历两轮后续修正 首个包含版本： RELEASE.2026-04-17T00-00-00Z 完整修正版本： RELEASE.2026-06-18T00-00-00Z 修复提交： 3b950f8、18b712d、9e10f6d、f441108、5e40665 GitHub Issue： pgsty/silo#23 AssumeRoleWithLDAPIdentity 的初始漏洞非常直观：LDAP STS 对“用户不存在”与“密码错误”返回不同的错误信息，构成了无需认证即可利用的用 …
状态： 已发布，并经历两轮后续修正 首个包含版本： RELEASE.2026-04-17T00-00-00Z 完整修正版本： RELEASE.2026-06-18T00-00-00Z 修复提交： 3b950f8、18b712d、9e10f6d、f441108、5e40665 GitHub Issue： pgsty/silo#23 AssumeRoleWithLDAPIdentity 的初始漏洞非常直观：LDAP STS 对“用户不存在”与“密码错误”返回不同的错误信息，构成了无需认证即可利用的用 …
-
CVE-2026-33322：OIDC JWT 算法混淆
状态： 已发布 首个包含版本： RELEASE.2026-04-17T00-00-00Z 影响入口： AssumeRoleWithWebIdentity、AssumeRoleWithClientGrants 修复提交： d24f449 GitHub Issue： pgsty/silo#22 internal/config/identity/openid 的旧实现将 OIDC client_secret 放进了本地 JWT 验签密钥环（keyring），同时允许 HMAC 签名算法 …
状态： 已发布 首个包含版本： RELEASE.2026-04-17T00-00-00Z 影响入口： AssumeRoleWithWebIdentity、AssumeRoleWithClientGrants 修复提交： d24f449 GitHub Issue： pgsty/silo#22 internal/config/identity/openid 的旧实现将 OIDC client_secret 放进了本地 JWT 验签密钥环（keyring），同时允许 HMAC 签名算法 …
-
CVE-2026-32285：最终无需补丁的 jsonparser 通告
状态： 无需代码改动，问题已关闭 GitHub Issue： pgsty/silo#26 关联上游提交： c1a49490（CVE-2025-62506） 对 CVE-2026-32285 的初始排查假设仓库可能仍携带未修复的 github.com/buger/jsonparser，团队甚至一度评估过替换依赖或维护独立分支。但在逐一核对通告引用的上游提交、Go 模块实际解析版本以及符号可达性后，结论完全改变： 外部漏洞库将 CVE-2026-32285 的摘要写成了 jsonparser 漏洞， …
状态： 无需代码改动，问题已关闭 GitHub Issue： pgsty/silo#26 关联上游提交： c1a49490（CVE-2025-62506） 对 CVE-2026-32285 的初始排查假设仓库可能仍携带未修复的 github.com/buger/jsonparser，团队甚至一度评估过替换依赖或维护独立分支。但在逐一核对通告引用的上游提交、Go 模块实际解析版本以及符号可达性后，结论完全改变： 外部漏洞库将 CVE-2026-32285 的摘要写成了 jsonparser 漏洞， …
-
CVE-2025-62506：Session Policy 权限提升
状态： 已继承并发布 首个 SILO 社区版本： RELEASE.2025-12-03T12-00-00Z 上游首个修复版本： RELEASE.2025-10-15T17-29-55Z GitHub Advisory： GHSA-jjjj-jwhf-8rgr 上游修复： minio/minio#21642 带有受限内联会话策略（Session Policy）的服务账号（Service Account）或 STS 临时凭据，原本可以借助“操作自身账号”的管理 API 例外创建一个不带相同限制的新服 …
状态： 已继承并发布 首个 SILO 社区版本： RELEASE.2025-12-03T12-00-00Z 上游首个修复版本： RELEASE.2025-10-15T17-29-55Z GitHub Advisory： GHSA-jjjj-jwhf-8rgr 上游修复： minio/minio#21642 带有受限内联会话策略（Session Policy）的服务账号（Service Account）或 STS 临时凭据，原本可以借助“操作自身账号”的管理 API 例外创建一个不带相同限制的新服 …