MinIO on SILO

SILO 20260618 发布

Thu, 18 Jun 2026 00:00:00 +0000

发布日期： 2026-06-18 · 版本： RELEASE.2026-06-18T00-00-00Z

这是 pgsty/minio 社区分支的一次例行安全与依赖维护更新。该版本加固 LDAP STS 限流，补齐 S3 Select 超大记录限制，移除废弃的 ReadMultiple 节点间 storage-REST API，将 Go 构建基线升级到 1.26.4，并刷新 Go 模块依赖以吸收第三方安全修复。

续命 MinIO：承诺兑现

Fri, 17 Apr 2026 00:00:00 +0000

pgsty/minio 在三天内修复并发布多项高危漏洞补丁。兑现了“继续维护开源 MinIO 分支”的承诺。

CVE-2026-32285：最终无需补丁的 jsonparser 通告

Wed, 15 Apr 2026 00:00:00 +0000

状态： 无需代码改动，问题已关闭
GitHub Issue： pgsty/minio#26

安全维护不只有“发现漏洞，然后提交补丁”。CVE-2026-32285 的初始判断是：仓库可能仍携带未修复的 jsonparser，甚至一度讨论过替换依赖或维护自己的分支。真正检查 module version 与可达性后，结论却是当前代码已经使用包含修复的 v1.1.2，govulncheck 也没有发现可达的 vulnerable symbol。

SILO 20260417 发布

Fri, 17 Apr 2026 00:00:00 +0000

发布日期： 2026-04-17 · 版本： RELEASE.2026-04-17T00-00-00Z

本次版本聚焦安全加固与兼容性收敛，集中修复了 OIDC、LDAP STS、S3 Select、对象复制元数据、unsigned-trailer、Snowball 上传链路，以及依赖与 Go 工具链相关的多项安全问题，并同步完成 LDAP TLS 回归修复与社区分叉文档整理。

CVE-2026-33322：OIDC JWT 算法混淆

Wed, 15 Apr 2026 00:00:00 +0000

状态： 已发布
首个包含版本： RELEASE.2026-04-17T00-00-00Z
影响入口： AssumeRoleWithWebIdentity、AssumeRoleWithClientGrants
GitHub Issue： pgsty/minio#22

MinIO 已死，MinIO 复生

Sat, 14 Feb 2026 00:00:00 +0000

MinIO 仓库正式归档并彻底放弃维护，开源对象存储用户将何去何从？AI Agent 如何助力 MinIO 起死回生？

CVE-2026-33419：LDAP STS 用户枚举与限流链

Wed, 15 Apr 2026 00:00:00 +0000

状态： 已发布，经历两轮后续修正
首个包含版本： RELEASE.2026-04-17T00-00-00Z
完整修正版本： RELEASE.2026-06-18T00-00-00Z
GitHub Issue： pgsty/minio#23

核心漏洞很直接：LDAP STS 对“用户不存在”和“密码错误”返回不同结果，形成 username oracle。第一版修复统一外部错误，并增加 source IP 与 username 双重限流；连续复核却发现，成功退款、可伪造来源 header、reservation accounting 和共享 username bucket 都可能让安全控制本身成为新的攻击面。

SILO 20260325 发布

Wed, 25 Mar 2026 00:00:00 +0000

发布日期： 2026-03-25 · 版本： RELEASE.2026-03-25T00-00-00Z

这是一个以打包、稳定性与安全公告为主的维护版本，重点是完善交付镜像、修复 LDAP TLS 回归，并把已经锁定到安全版本的依赖明确纳入发布说明。

MinIO已死，谁能接盘？

Mon, 08 Dec 2025 00:00:00 +0000

MinIO进入维护模式，有什么替代品？Ceph、RustFS、SeaweedFS、Garage各有各的问题。老冯把这些方案都打好了包挨个试了一遍，总结一句话：没有完美替代。

CVE-2026-34204：复制元数据注入

Wed, 15 Apr 2026 00:00:00 +0000

状态： 已发布
首个包含版本： RELEASE.2026-04-17T00-00-00Z
GitHub Issue： pgsty/minio#24

普通 PUT 与 COPY 请求可以把 X-Minio-Replication-* header 伪装进内部 X-Minio-Internal-* SSE metadata，写出 replication state 与真实授权路径不一致、甚至无法读取的对象。最终修复不再默认接受 replication-only metadata，只在通过 ReplicateObjectAction 的可信复制流程中恢复，并在 CopyObject 的所有 header 消费者之前统一清洗。

SILO 20260321 发布

Sat, 21 Mar 2026 00:00:00 +0000

发布日期： 2026-03-21 · 版本： RELEASE.2026-03-21T00-00-00Z

这是一次围绕 Go 1.26.1 与依赖收敛展开的维护版。除了适配更严格的编译与 lint 检查外，这个版本也完成了本轮最关键的一次安全依赖刷新。

主要变更

将构建环境从 Go 1.26.0 升级到 Go 1.26.1。
全面刷新直接与间接依赖，收敛新工具链下的兼容性问题。
修正 Go 1.26.1 更严格检查暴露出来的一批 lint 与测试问题。

修复的 CVE

CVE-2026-27137：Go stdlib 从 1.26.0 升级到 1.26.1，修复 crypto/x509 对邮箱约束校验不完整的问题。
CVE-2026-27138：Go stdlib 从 1.26.0 升级到 1.26.1，修复畸形证书触发 crypto/x509 panic 的问题。
CVE-2026-25679：Go stdlib 从 1.26.0 升级到 1.26.1，修复 net/url 对 IPv6 host literal 解析不严格的问题。
CVE-2026-27139：Go stdlib 从 1.26.0 升级到 1.26.1，修复 os 中 FileInfo 可逃逸 Root 边界的问题。
CVE-2026-27142：Go stdlib 从 1.26.0 升级到 1.26.1，修复 html/template 在 meta refresh 场景下 URL 未正确转义的 XSS 风险。
CVE-2026-26958：filippo.io/edwards25519 从 v1.1.0 升级到 v1.2.0，修复 MultiScalarMult 可能产生错误结果或未定义行为的问题。
CVE-2025-10543：github.com/eclipse/paho.mqtt.golang 从 v1.5.0 升级到 v1.5.1，修复超长 UTF-8 字符串编码错误导致的 MQTT 报文异常。
CVE-2026-24051：go.opentelemetry.io/otel/sdk 从 v1.38.0 升级到 v1.42.0，修复 macOS 上通过 PATH hijacking 触发任意代码执行的风险。
CVE-2026-33186：google.golang.org/grpc 从 v1.77.0 升级到 v1.79.3，修复 HTTP/2 :path 缺少前导斜杠时的授权绕过问题。

5abd9a8：bump golang to 1.26.1 and update deps
377fc61：fix: satisfy stricter Go 1.26.1 linter checks

MinIO已死

Thu, 04 Dec 2025 00:00:00 +0000

MinIO官方宣布开源项目进入"维护模式"，基本上宣告了MinIO作为一个开源项目的死亡。屠龙勇者成为新的恶龙——MinIO是如何从S3开源替代变成一家普通的商业软件公司的。

CVE-2026-39414：S3 Select 超大记录与 SIMD 绕过

Wed, 15 Apr 2026 00:00:00 +0000

状态： 已发布，六月完成二次闭环
初始修复版本： RELEASE.2026-04-17T00-00-00Z
完整修复版本： RELEASE.2026-06-18T00-00-00Z
GitHub Issue： pgsty/minio#25

四月的第一轮修复使用既有的 1 MiB maxCharsPerRecord 同时限制 CSV 与普通 JSON Lines，避免在遇到分隔符前持续无界 buffering，并让客户端得到明确的 OverMaxRecordSize。六月复核却发现，支持 SIMD 的 CPU 会走另一条 simdjson fast path，完全绕过这个限制。

SILO 20260314 发布

Sat, 14 Mar 2026 00:00:00 +0000

发布日期： 2026-03-14 · 版本： RELEASE.2026-03-14T12-00-00Z

这个版本完成了向社区维护 Console 分支的切换，并在切换过程中做了一轮较大幅度的依赖更新，为后续 Go 1.26.x 维护版打下基础。

主要变更

切换到社区维护的 georgmangold/console v1.9.1，替换不可持续维护的上游 Console 依赖。
大幅更新 go.mod 中的直接与间接依赖，使 Console 与新工具链组合能够稳定构建。
修复 grid_test.go 的 go vet 格式化指令问题，并调整部分测试以适配 Go 1.26 的 HTTP 行为变化。

修复的 CVE

CVE-2025-47913：golang.org/x/crypto 从 v0.37.0 升级到 v0.46.0，修复 ssh/agent 在处理异常响应时可能导致客户端 panic 的问题。
CVE-2025-58181：golang.org/x/crypto 从 v0.37.0 升级到 v0.46.0，修复 ssh GSSAPI 认证请求可触发无界内存消耗的问题。
CVE-2025-47914：golang.org/x/crypto 从 v0.37.0 升级到 v0.46.0，修复 ssh/agent 对畸形身份消息缺乏边界校验导致的 panic 问题。
CVE-2025-47911：golang.org/x/net 从 v0.39.0 升级到 v0.48.0，修复 html.Parse 在特制输入下的二次复杂度解析问题。
CVE-2025-58190：golang.org/x/net 从 v0.39.0 升级到 v0.48.0，修复 golang.org/x/net/html 可能陷入无限解析循环的问题。

68521b3：add github ci/cd pipeline
00f3cf7：RELEASE.2026-03-14T12-00-00Z with go 1.26.0

CVE-2026-40344：Snowball 自动解包认证绕过

Thu, 16 Apr 2026 00:00:00 +0000

状态： 已发布
首个包含版本： RELEASE.2026-04-17T00-00-00Z
GitHub Advisory： GHSA-9c4q-hq6p-c237

Snowball PutObjectExtractHandler 漏掉了 streaming unsigned-trailer auth case。伪造 signature 的 tar stream 可以在认证完成前进入 untar()，而一次请求又能扇出为多个对象写入。最终修复在任何 tar 字节进入解包器之前，初始化正确 reader、处理 decoded length 并完成 SigV4 验证。

SILO 20260214 发布

Sat, 14 Feb 2026 00:00:00 +0000

发布日期： 2026-02-14 · 版本： RELEASE.2026-02-14T12-00-00Z

这是社区分支早期的一个基础设施版本，除了恢复内嵌 Console 与建立 GitHub CI/CD 之外，也把 Go 运行时基线提升到 1.26.0，因此一并消化了上一代工具链中的一批安全问题。

CVE-2026-41145：Unsigned-Trailer 查询认证绕过

Thu, 16 Apr 2026 00:00:00 +0000

状态： 已发布
首个包含版本： RELEASE.2026-04-17T00-00-00Z
GitHub Advisory： GHSA-hv4r-mvr4-25vw

query-string SigV4 credential 可以进入 STREAMING-UNSIGNED-PAYLOAD-TRAILER 数据流，但旧代码只在存在 Authorization header 时验证签名。结果是：请求只要提供有效 access key 标识，即使没有正确 signature，也可能完成写入。

SILO 20251203 发布

Mon, 15 Dec 2025 00:00:00 +0000

发布日期： 2025-12-15 · 版本： RELEASE.2025-12-03T12-00-00Z

这是目前可追溯到的首个社区版发布，主要目标是建立社区维护分支的打包与分发基线，而不是在此前社区版本之上做增量修复。

主要变更

基于 minio/pkger 建立社区版打包流程。
选择 MinIO 进入 maintenance mode 后的一版上游基线作为社区分支起点。
首次产出 apk、deb、rpm 等多种平台包，为后续持续发布建立基础。

修复的 CVE

这是首个社区版发布，GitHub Release 未单独声明相对更早社区版本的安全修复清单；本页不追溯其相对上游维护模式基线的全部历史 CVE 差异。

d4cd4b4：RELEASE.2025-12-03T12-00-00Z with go 1.25.5

CVE-2026-42600：ReadMultiple Storage-REST 路径穿越

Fri, 12 Jun 2026 00:00:00 +0000

状态： 已发布
首个包含版本： RELEASE.2026-06-18T00-00-00Z
GitHub Advisory： GHSA-xh8f-g2qw-gcm7
影响范围： 仅 distributed erasure；需要 cluster-root / internode JWT

/rmpl 的 msgpack body 中包含 Bucket、Prefix 与 Files，旧代码直接把它们拼成文件系统路径，没有 containment。最初的修复实现了完整 preflight validation；继续审计调用链后却发现，这条 API 从 2024 年起已经没有 production caller。最终方案因此从“保留并加固”转为删除 route、handler、client、interface 与生成代码。

MinIO on SILO

SILO 20260618 发布

续命 MinIO：承诺兑现

CVE-2026-32285：最终无需补丁的 jsonparser 通告

SILO 20260417 发布

CVE-2026-33322：OIDC JWT 算法混淆

MinIO 已死，MinIO 复生

CVE-2026-33419：LDAP STS 用户枚举与限流链

SILO 20260325 发布

MinIO已死，谁能接盘？

CVE-2026-34204：复制元数据注入

SILO 20260321 发布

主要变更

修复的 CVE

关联提交

MinIO已死

CVE-2026-39414：S3 Select 超大记录与 SIMD 绕过

SILO 20260314 发布

主要变更

修复的 CVE

关联提交

CVE-2026-40344：Snowball 自动解包认证绕过

SILO 20260214 发布

CVE-2026-41145：Unsigned-Trailer 查询认证绕过

SILO 20251203 发布

主要变更

修复的 CVE

关联提交

CVE-2026-42600：ReadMultiple Storage-REST 路径穿越