Kritische Sicherheitslücke in S3 Plattform in MinIO CVE-2025-31489

Die S3 Alternative MinIO hat eine kritische Schwachstelle (CVE-2025-31489) in seiner Software entdeckt, die in der Version RELEASE.2023-05-18T00-05-36Z eingeführt wurde und mit der Version RELEASE.2025-04-03T14-56-28Z behoben ist. Die Sicherheitslücke betrifft die unvollständige Signaturvalidierung bei Uploads mit „unsigned-trailer“, was es Angreifern ermöglicht, mit beliebigen Geheimnissen Objekte in Buckets hochzuladen – vorausgesetzt, sie kennen den Access Key und haben WRITE-Rechte auf den Ziel-Bucket.

Ein Angreifer mit Zugangsdaten und Berechtigung kann mithilfe einfacher Tools wie curl beliebige Objekte in betroffene Buckets hochladen, ohne dass die Signatur korrekt geprüft wird. Dies stellt ein erhebliches Risiko für Datenintegrität und -sicherheit dar. Nutzer sollten sofort auf die gepatchte Version RELEASE.2025-04-03T14-56-28Z aktualisieren.

Bis zum Update sollten Load Balancer Anfragen mit dem Header x-amz-content-sha256: STREAMING-UNSIGNED-PAYLOAD-TRAILER blockieren. Anwendungen sollten stattdessen den sicheren Modus STREAMING-AWS4-HMAC-SHA256-PAYLOAD-TRAILER verwenden.

Tags :

Related Posts

Massives Datenleck bei X (Twitter)

Am 1. April 2025 hat ein Hacker unter dem Pseudonym ThinkingOne behauptet, 200 Millionen Nutzer-Datensätze sowie 2,8 Milliarden Twitter-IDs von X (ehemals Twitter) öffentlich gemacht zu haben. Zu den geleakten Informationen zählen unter anderem Nutzernamen, User-IDs, vollständige Namen, Standorte, E-Mail-Adressen, Follower-Zahlen, Profilbilder und weitere Profilinformationen.

Read More

WinRAR-Sicherheitslücke CVE-2025-31334

WinRAR (Versionen vor 7.11) ist von einer kritischen Sicherheitslücke betroffen. Ein speziell präparierter symbolischer Link kann den “Mark of the Web”-Sicherheitscheck umgehen und so dazu führen, dass beliebiger Code ausgeführt wird. Dies ermöglicht Angreifern, über manipulierte Dateien die Kontrolle über das System zu erlangen.

Read More

PHP: Sicherheitslücke bei libxml-Streams – Falscher Content-Type bei Weiterleitungen

Mitte März 2025 wurde in PHP in der libxml-Implementierung eine Sicherheitslücke bekannt (CVE-2025-1219). Betroffen sind die DOM- und SimpleXML-Erweiterungen, wenn HTTP-Ressourcen über libxml geladen werden und dabei Weiterleitungen erfolgen.

Read More