https://silo.pgsty.com/zh/tags/sts/Recent content in STS on SILOHugozh-CNSun, 02 Aug 2026 15:22:46 +0800https://silo.pgsty.com/zh/blog/security/cve-2026-33419/Wed, 15 Apr 2026 00:00:00 +0000https://silo.pgsty.com/zh/blog/security/cve-2026-33419/<p><strong>状态：</strong> 已发布，经历两轮后续修正<br> <strong>首个包含版本：</strong> <a href="https://github.com/pgsty/minio/releases/tag/RELEASE.2026-04-17T00-00-00Z">RELEASE.2026-04-17T00-00-00Z</a><br> <strong>完整修正版本：</strong> <a href="https://github.com/pgsty/minio/releases/tag/RELEASE.2026-06-18T00-00-00Z">RELEASE.2026-06-18T00-00-00Z</a><br> <strong>GitHub Issue：</strong> <a href="https://github.com/pgsty/minio/issues/23">pgsty/minio#23</a></p> <p>核心漏洞很直接：LDAP STS 对“用户不存在”和“密码错误”返回不同结果，形成 username oracle。第一版修复统一外部错误，并增加 source IP 与 username 双重限流；连续复核却发现，成功退款、可伪造来源 header、reservation accounting 和共享 username bucket 都可能让安全控制本身成为新的攻击面。</p>