https://silo.pgsty.com/zh/tags/sigv4/Recent content in SigV4 on SILOHugozh-CNSun, 02 Aug 2026 15:22:46 +0800https://silo.pgsty.com/zh/blog/security/cve-2026-40344/Thu, 16 Apr 2026 00:00:00 +0000https://silo.pgsty.com/zh/blog/security/cve-2026-40344/<p><strong>状态：</strong> 已发布<br> <strong>首个包含版本：</strong> <a href="https://github.com/pgsty/minio/releases/tag/RELEASE.2026-04-17T00-00-00Z">RELEASE.2026-04-17T00-00-00Z</a><br> <strong>GitHub Advisory：</strong> <a href="https://github.com/advisories/GHSA-9c4q-hq6p-c237">GHSA-9c4q-hq6p-c237</a></p> <p>Snowball <code>PutObjectExtractHandler</code> 漏掉了 streaming unsigned-trailer auth case。伪造 signature 的 tar stream 可以在认证完成前进入 <code>untar()</code>，而一次请求又能扇出为多个对象写入。最终修复在任何 tar 字节进入解包器之前，初始化正确 reader、处理 decoded length 并完成 SigV4 验证。</p>https://silo.pgsty.com/zh/blog/security/cve-2026-41145/Thu, 16 Apr 2026 00:00:00 +0000https://silo.pgsty.com/zh/blog/security/cve-2026-41145/<p><strong>状态：</strong> 已发布<br> <strong>首个包含版本：</strong> <a href="https://github.com/pgsty/minio/releases/tag/RELEASE.2026-04-17T00-00-00Z">RELEASE.2026-04-17T00-00-00Z</a><br> <strong>GitHub Advisory：</strong> <a href="https://github.com/advisories/GHSA-hv4r-mvr4-25vw">GHSA-hv4r-mvr4-25vw</a></p> <p>query-string SigV4 credential 可以进入 <code>STREAMING-UNSIGNED-PAYLOAD-TRAILER</code> 数据流，但旧代码只在存在 <code>Authorization</code> header 时验证签名。结果是：请求只要提供有效 access key 标识，即使没有正确 signature，也可能完成写入。</p>