SN-2026-003：s3:versionid 条件求值缺陷与请求条件隔离加固

Tue, 04 Aug 2026 00:00:00 +0000

SN-2026-003 与 SN-2026-005 涵盖了随 Server 20260804（提交 80c2c9d03、2f55347f7、eee05a17c 以及 silo-pkg v3.12.0 提交 2b087a1；pgsty/silo#40、pgsty/silo#53）发布的一组 S3 IAM 策略求值加固：

SN-2026-003（80c2c9d03）：当请求未携带 versionId 时，getConditionValues 依然无条件写入了 args.ConditionValues["versionid"] = []string{""}，导致针对 s3:versionid 的 IAM Null 条件恒判定为“键已存在”；而如果只修改 getConditionValues，又会导致批量删除 DeleteObjects 请求体中的 XML <VersionId> 绕过版本条件策略，必须配合 authorizeRequestWithTags 中的逐条重绑定一并修复。
条件来源隔离（2f55347f7）：严格隔离 URL 查询参数、HTTP 请求头、服务端内部派生键以及 s3:ExistingObjectTag/<key> 与 s3:RequestObjectTag/<key>，防止不可信查询串或请求头伪造内部条件键。
SN-2026-005（2b087a1 / eee05a17c）：新增 ParseConfigStrict，在策略写入路径上拒绝退化的裸 ARN 前缀（"arn:aws:s3:::" 与 "*arn:aws:s3:::"）。

结论先行

无条件写入空字符串切片导致 Null 判空反转：在 silo-pkg 中，nullFunc.evaluate 通过检查键不存在或 len(rvalues) == 0 来判定条件键为空（Null）。由于 getConditionValues 无条件执行 args.ConditionValues["versionid"] = []string{vid}（当 vid == "" 时生成长度为 1 的 []string{""}），len(rvalues) 永远为 1——导致 Null: {"s3:versionid": "true"} 永远为 false，而 Null: {"s3:versionid": "false"} 永远为 true。
仅修改 getConditionValues 会在 DeleteObjects 上打开绕过口子：在批量删除 DeleteObjects（POST /?delete）中，待删除的 <VersionId> 位于 XML 请求体的每个 <Object> 条目内，而非 URL 查询参数中。如果仅仅在 URL 没有 versionId 时省略 "versionid"，那么在 DeleteObjects 逐条鉴权时，用于禁止删除指定版本的策略（如 Condition: {"Null": {"s3:versionid": "false"}}）将因看不到 XML 中的 <VersionId> 而彻底失效！因此必须在 authorizeRequestWithTags 中根据 ReqInfo.VersionID 动态重绑定 ConditionValues["versionid"]。
空白字符归一化消除 Deny 绕过：业务 Handler 在读取 versionId 时调用了 strings.TrimSpace(r.URL.Query().Get("versionId"))，而 getConditionValues 却未做 TrimSpace。攻击者只需传入 ?versionId=V%20（带尾随空格），即可在策略求值阶段绕过 Deny StringEquals {"s3:versionid": "V"}，随后在 Handler 阶段被去除空格并成功操作受保护的版本 V。

为什么 `s3:versionid` 上的 `Null` 条件完全反了

在 silo-pkg/bucket/policy/condition/nullfunc.go 中，IAM Null 条件算子按如下逻辑检查请求上下文中是否缺失某个条件键：

SN-2026-004：对象级策略授权越界命中桶级变更操作

Tue, 04 Aug 2026 00:00:00 +0000

SN-2026-004 修复了 silo-pkg v3.11.0（提交 3c24ad1、1f97549、d8b1fa7）与 Server 20260804（97b7d2804；上游参考 minio/minio#20449）中的一处 IAM 资源匹配缺陷：在评估桶级 S3 请求（args.ObjectName == ""）时，Statement.IsAllowed 会固定在桶名末尾拼接 '/' 生成 "bucket/" 作为待匹配资源字符串，导致原本仅面向桶内对象的通配授权（如 Allow s3:* on arn:aws:s3:::bucket/*）能够越界放行 s3:PutBucketPolicy、s3:DeleteBucket 等高危桶级变更操作。

Bucket Policy on SILO

SN-2026-003：s3:versionid 条件求值缺陷与请求条件隔离加固

结论先行

为什么 s3:versionid 上的 Null 条件完全反了

SN-2026-004：对象级策略授权越界命中桶级变更操作

为什么 `s3:versionid` 上的 `Null` 条件完全反了