SigV4
2 篇-
九月安全修复：载荷完整性、IAM 撤销与 Console 分享
本文汇总随 Server 20260916 与 Console v2.4.1 发布的三项安全修复（SN-2026-012 至 SN-2026-014）及底层依赖安全更新。完整台账索引见安全公告台账。 编号与问题 修复源码 发布状态 SN-2026-012：预签名载荷完整性 Server c4b5e1cb4，PR #177 已随 Server 20260916 发布（RELEASE.2026-09-03T13-18-01Z 及更早版本受影响） SN-2026-013：持久 IAM 撤销 …
本文汇总随 Server 20260916 与 Console v2.4.1 发布的三项安全修复（SN-2026-012 至 SN-2026-014）及底层依赖安全更新。完整台账索引见安全公告台账。 编号与问题 修复源码 发布状态 SN-2026-012：预签名载荷完整性 Server c4b5e1cb4，PR #177 已随 Server 20260916 发布（RELEASE.2026-09-03T13-18-01Z 及更早版本受影响） SN-2026-013：持久 IAM 撤销 …
-
SigV4 签名头覆盖边界：拒绝未签名的 x-amz-* 请求头
本文记录 SILO 的未签名请求头覆盖修复（核心提交 123325430，经 PR #173 合入，安全通告编号 SN-2026-011）以及 PR #177 中的后续签名与载荷校验修复（安全通告编号 SN-2026-012）。上述修复已随 Server 20260916 发布。该漏洞由 Oren Yomtov 报告，并在本地预签名与 Authorization 请求头两条 SigV4 路径上复现。 核心结论（TL;DR） 预签名 PUT URL 可以只对 host 一个请求头签名。此前 …
本文记录 SILO 的未签名请求头覆盖修复（核心提交 123325430，经 PR #173 合入，安全通告编号 SN-2026-011）以及 PR #177 中的后续签名与载荷校验修复（安全通告编号 SN-2026-012）。上述修复已随 Server 20260916 发布。该漏洞由 Oren Yomtov 报告，并在本地预签名与 Authorization 请求头两条 SigV4 路径上复现。 核心结论（TL;DR） 预签名 PUT URL 可以只对 host 一个请求头签名。此前 …