安全公告

概要： 针对Minio服务器的拒绝服务(DoS)漏洞已被发现，并在 RELEASE.2018–05–25T19–49–13Z 中修复。

严重程度： 中等

受影响者： 所有使用签名 V4 身份验证的用户都会受到影响。使用签名 V2 身份验证的用户不受影响。

建议用户采取的措施： 建议所有用户将他们的 Minio 部署升级到最新版本。此问题已在版本 RELEASE.2018–05–25T19–49–13Z 中修复。

描述： Minio 服务器尝试将某些 S3 API 请求（例如（预签名）GET 请求）的整个主体读取到 RAM 中，以验证请求主体的 MD5 或 SHA256 校验和。恶意客户端可以利用此漏洞对 Minio 服务器执行 DoS 攻击，方法是发送带有大型主体的已记录 V4 签名或 V4 预签名请求，直到服务器内存不足。成功利用此漏洞需要本地网络访问或有效的 V4 预签名请求。

此问题是在内部安全审计中发现的，并已提交补丁以通过在流模式下验证请求主体而不是将其缓冲在 RAM 中来修复漏洞。补丁已通过审核和接受，并已发布新版本。

成功利用此漏洞可以用于消耗服务器的全部内存，导致其停止处理请求，必须手动重新启动。