IAM
14 篇-
LDAP 长 DN：恢复登录可用性并守住 IAM 撤销安全边界
Server PR #250（合入提交 d43adc0f2，已随 Server 20261026 发布）修复了 LDAP 用户在规范化可分辨名称（Distinguished Name，DN）超过对象存储 IAM 后端单路径分量 255 字节上限时无法登录的问题，同时严格保留了对真实存储故障与持久化 IAM 撤销记录的 Fail-Closed 错误传播。 原始问题报告、初版补丁（9faeb7a11）及长 DN 回归测试由社区贡献者 @910patin 提交。在合并前的设计复核中，维护者进一步收窄了 …
Server PR #250（合入提交 d43adc0f2，已随 Server 20261026 发布）修复了 LDAP 用户在规范化可分辨名称（Distinguished Name，DN）超过对象存储 IAM 后端单路径分量 255 字节上限时无法登录的问题，同时严格保留了对真实存储故障与持久化 IAM 撤销记录的 Fail-Closed 错误传播。 原始问题报告、初版补丁（9faeb7a11）及长 DN 回归测试由社区贡献者 @910patin 提交。在合并前的设计复核中，维护者进一步收窄了 …
-
IAM 策略重载：锁粒度、请求取消与超时预算隔离
提交 1b5477f3d（pgsty/silo#251）解决了 KMS/KES 响应缓慢时的两类级联故障： 鉴权缓存锁争用：ListPolicies 与 ListPolicyDocs 在保留 IAM 写操作串行锁（writeMu）的前提下，将慢速的后端策略读取与解密移出内存鉴权缓存锁（store.lock()），避免管理员列举策略时阻塞普通用户的 S3 读写请求。 全链路取消传播与超时预算隔离：将调用方的请求 context.Context 贯通至 IAM 配置解密、SSE-S3 列表密钥解封以 …
提交 1b5477f3d（pgsty/silo#251）解决了 KMS/KES 响应缓慢时的两类级联故障： 鉴权缓存锁争用：ListPolicies 与 ListPolicyDocs 在保留 IAM 写操作串行锁（writeMu）的前提下，将慢速的后端策略读取与解密移出内存鉴权缓存锁（store.lock()），避免管理员列举策略时阻塞普通用户的 S3 读写请求。 全链路取消传播与超时预算隔离：将调用方的请求 context.Context 贯通至 IAM 配置解密、SSE-S3 列表密钥解封以 …
-
十月安全更新：Object Lock、管理凭据与 JWK 解析
SILO Server 20261018 正式交付了 SN-2026-015、SN-2026-016 与 SN-2026-017 三项安全修复、细粒度 STS 令牌撤销机制，以及跨 silo、mcli 与 silo-console 的 Go 工具链与依赖库安全更新。Server 20260916 与 20260903 均受影响（20261015 为已被替代的预发布草稿）。 Object Lock：SN-2026-015 与 SN-2026-016 SN-2026-015 与 …
SILO Server 20261018 正式交付了 SN-2026-015、SN-2026-016 与 SN-2026-017 三项安全修复、细粒度 STS 令牌撤销机制，以及跨 silo、mcli 与 silo-console 的 Go 工具链与依赖库安全更新。Server 20260916 与 20260903 均受影响（20261015 为已被替代的预发布草稿）。 Object Lock：SN-2026-015 与 SN-2026-016 SN-2026-015 与 …
-
IAM Admin API 授权边界修复
Server 20261018 包含了 PR #242（基于基线 00a375c4e 的修复提交 2616d43fb，合并提交 4e55fc7db）以及批量自查询后续修复 995439260，用于修复 SN-2026-017。本文记录问题范围、Handler 级授权契约、空策略与 claims 归属处理、损坏密钥清理语义、性能开销、被否决的候选方案以及回归验证结果。 问题与范围 此前部分 Admin Handler 在授权拒绝后仍以“目标属于调用者”为由放行，列出自身服务账号时甚至可能直接跳过授 …
Server 20261018 包含了 PR #242（基于基线 00a375c4e 的修复提交 2616d43fb，合并提交 4e55fc7db）以及批量自查询后续修复 995439260，用于修复 SN-2026-017。本文记录问题范围、Handler 级授权契约、空策略与 claims 归属处理、损坏密钥清理语义、性能开销、被否决的候选方案以及回归验证结果。 问题与范围 此前部分 Admin Handler 在授权拒绝后仍以“目标属于调用者”为由放行，列出自身服务账号时甚至可能直接跳过授 …
-
对象锁保留期越权与版本覆写漏洞修复设计（SN-2026-015 / SN-2026-016）
本文档完整记录针对外部报告与内部关联排查发现的两处对象锁（Object Lock / WORM）安全缺陷——**SN-2026-015（PutObjectRetention 绕过请求头越权与条件策略失灵）**与 SN-2026-016（版本寻址写入覆写绕过及写路径锁缺口）——的事实核验、Git 历史溯源、修复设计、关键路径影响评估与候选方案的权衡取舍。完整修复（#234、#235、#241）已随 Server 20261018 正式发布。 关联公开安全公告： SN-2026-015 / …
本文档完整记录针对外部报告与内部关联排查发现的两处对象锁（Object Lock / WORM）安全缺陷——**SN-2026-015（PutObjectRetention 绕过请求头越权与条件策略失灵）**与 SN-2026-016（版本寻址写入覆写绕过及写路径锁缺口）——的事实核验、Git 历史溯源、修复设计、关键路径影响评估与候选方案的权衡取舍。完整修复（#234、#235、#241）已随 Server 20261018 正式发布。 关联公开安全公告： SN-2026-015 / …
-
SN-2026-015 与 SN-2026-016：S3 Object Lock 治理模式保留锁绕过与指定版本号原地覆盖漏洞分析
SN-2026-015 与 SN-2026-016 涵盖了在 SILO Server 20261018 中通过 PR #234（14042b5aa）与 PR #235（0d3ba5d4c）修复的两组 S3 Object Lock 合规保留与不可变性漏洞（配套修复设计方案）。虽然删除路径此前已按 CVE-2023-25812 正确校验 s3:BypassGovernanceRetention，但保留期修改路径（PutObjectRetention）与四条原地版本覆写路径仍存在绕过缺陷。 漏洞范围 …
SN-2026-015 与 SN-2026-016 涵盖了在 SILO Server 20261018 中通过 PR #234（14042b5aa）与 PR #235（0d3ba5d4c）修复的两组 S3 Object Lock 合规保留与不可变性漏洞（配套修复设计方案）。虽然删除路径此前已按 CVE-2023-25812 正确校验 s3:BypassGovernanceRetention，但保留期修改路径（PutObjectRetention）与四条原地版本覆写路径仍存在绕过缺陷。 漏洞范围 …
-
九月安全修复：载荷完整性、IAM 撤销与 Console 分享
本文汇总随 Server 20260916 与 Console v2.4.1 发布的三项安全修复（SN-2026-012 至 SN-2026-014）及底层依赖安全更新。完整台账索引见安全公告台账。 编号与问题 修复源码 发布状态 SN-2026-012：预签名载荷完整性 Server c4b5e1cb4，PR #177 已随 Server 20260916 发布（RELEASE.2026-09-03T13-18-01Z 及更早版本受影响） SN-2026-013：持久 IAM 撤销 …
本文汇总随 Server 20260916 与 Console v2.4.1 发布的三项安全修复（SN-2026-012 至 SN-2026-014）及底层依赖安全更新。完整台账索引见安全公告台账。 编号与问题 修复源码 发布状态 SN-2026-012：预签名载荷完整性 Server c4b5e1cb4，PR #177 已随 Server 20260916 发布（RELEASE.2026-09-03T13-18-01Z 及更早版本受影响） SN-2026-013：持久 IAM 撤销 …
-
SILO 20260903 安全说明：SN-2026-006 至 010
本公告汇总随 SILO Server 20260903（RELEASE.2026-09-03T13-18-01Z）发布的五项服务端安全修复，涵盖客户端提供密钥加密（SSE-C）、客户端可控复制请求头、管理端账户/组状态变更鉴权以及显式对象版本删除。SN-2026-006 至 SN-2026-010 为 SILO 安全说明编号，对应从上游 minio/minio 代码基线继承并在发布前审计中修复的权限与密码学边界缺陷。 摘要 编号 触发前置条件 缺陷表现 20260903 修复后行为 …
本公告汇总随 SILO Server 20260903（RELEASE.2026-09-03T13-18-01Z）发布的五项服务端安全修复，涵盖客户端提供密钥加密（SSE-C）、客户端可控复制请求头、管理端账户/组状态变更鉴权以及显式对象版本删除。SN-2026-006 至 SN-2026-010 为 SILO 安全说明编号，对应从上游 minio/minio 代码基线继承并在发布前审计中修复的权限与密码学边界缺陷。 摘要 编号 触发前置条件 缺陷表现 20260903 修复后行为 …
-
显式版本删除现在要求 DeleteObjectVersion
自 Server 20260903 起（pgsty/silo#104，对应 Issue #58），SILO 按照删除请求实际执行的操作类型选择所需权限： 请求 所需权限 未携带 versionId s3:DeleteObject 版本 UUID s3:DeleteObjectVersion 显式 versionId=null s3:DeleteObjectVersion DeleteObjects 对每个 XML 条目独立应用映射 此前所有情况均要求 s3:DeleteObject，而 …
自 Server 20260903 起（pgsty/silo#104，对应 Issue #58），SILO 按照删除请求实际执行的操作类型选择所需权限： 请求 所需权限 未携带 versionId s3:DeleteObject 版本 UUID s3:DeleteObjectVersion 显式 versionId=null s3:DeleteObjectVersion DeleteObjects 对每个 XML 条目独立应用映射 此前所有情况均要求 s3:DeleteObject，而 …
-
一个端点，两种权限：彻底分离用户与组状态
本文记录 上游议题 minio/minio#21478、SILO PR #73（提交 58735ee38 / 2e2377d1c）以及 set-group-status 组状态权限善后提交（229fe2b3c）的鉴权设计与验证记录。上述修复已随 Server 20260903 发布。 太长不看（TL;DR） SILO 同时定义了 admin:EnableUser 与 admin:DisableUser 两项策略权限，但共用的 set-user-status 处理函数过去无论目标状态是什么，都固定 …
本文记录 上游议题 minio/minio#21478、SILO PR #73（提交 58735ee38 / 2e2377d1c）以及 set-group-status 组状态权限善后提交（229fe2b3c）的鉴权设计与验证记录。上述修复已随 Server 20260903 发布。 太长不看（TL;DR） SILO 同时定义了 admin:EnableUser 与 admin:DisableUser 两项策略权限，但共用的 set-user-status 处理函数过去无论目标状态是什么，都固定 …
-
SN-2026-018：客户端源地址信任边界、转发头欺骗与 aws:SourceIp 加固
SN-2026-018 修复了 silo-pkg v3.12.0（提交 62f326d）与 Server 20260804（00a8171cb，pgsty/silo#41）中影响 aws:SourceIp IAM 条件求值、审计日志、桶事件通知及管理端 HTTP 追踪的客户端源 IP 欺骗问题：handlers.GetSourceIP 此前默认无条件信任任意 TCP 对端发来的 X-Forwarded-For、X-Real-IP 与 RFC 7239 Forwarded 请求头；即便管理员显式设 …
SN-2026-018 修复了 silo-pkg v3.12.0（提交 62f326d）与 Server 20260804（00a8171cb，pgsty/silo#41）中影响 aws:SourceIp IAM 条件求值、审计日志、桶事件通知及管理端 HTTP 追踪的客户端源 IP 欺骗问题：handlers.GetSourceIP 此前默认无条件信任任意 TCP 对端发来的 X-Forwarded-For、X-Real-IP 与 RFC 7239 Forwarded 请求头；即便管理员显式设 …
-
SN-2026-004：对象级策略授权越界命中桶级变更操作
SN-2026-004 修复了 silo-pkg v3.11.0（提交 3c24ad1、1f97549、d8b1fa7）与 Server 20260804（97b7d2804；上游参考 minio/minio#20449）中的一处 IAM 资源匹配缺陷：在评估桶级 S3 请求（args.ObjectName == ""）时，Statement.IsAllowed 会固定在桶名末尾拼接 '/' 生成 "bucket/" 作为待匹配资源字符串，导致原本仅面向桶内对象的通配授权（如 Allow …
SN-2026-004 修复了 silo-pkg v3.11.0（提交 3c24ad1、1f97549、d8b1fa7）与 Server 20260804（97b7d2804；上游参考 minio/minio#20449）中的一处 IAM 资源匹配缺陷：在评估桶级 S3 请求（args.ObjectName == ""）时，Statement.IsAllowed 会固定在桶名末尾拼接 '/' 生成 "bucket/" 作为待匹配资源字符串，导致原本仅面向桶内对象的通配授权（如 Allow …
-
SN-2026-003：s3:versionid 条件求值缺陷与请求条件隔离加固
SN-2026-003 与 SN-2026-005 涵盖了随 Server 20260804（提交 80c2c9d03、2f55347f7、eee05a17c 以及 silo-pkg v3.12.0 提交 2b087a1；pgsty/silo#40、pgsty/silo#53）发布的一组 S3 IAM 策略求值加固： SN-2026-003（80c2c9d03）：当请求未携带 versionId 时，getConditionValues 依然无条件写入了 …
SN-2026-003 与 SN-2026-005 涵盖了随 Server 20260804（提交 80c2c9d03、2f55347f7、eee05a17c 以及 silo-pkg v3.12.0 提交 2b087a1；pgsty/silo#40、pgsty/silo#53）发布的一组 S3 IAM 策略求值加固： SN-2026-003（80c2c9d03）：当请求未携带 versionId 时，getConditionValues 依然无条件写入了 …
-
CVE-2025-62506：Session Policy 权限提升
状态： 已继承并发布 首个 SILO 社区版本： RELEASE.2025-12-03T12-00-00Z 上游首个修复版本： RELEASE.2025-10-15T17-29-55Z GitHub Advisory： GHSA-jjjj-jwhf-8rgr 上游修复： minio/minio#21642 带有受限内联会话策略（Session Policy）的服务账号（Service Account）或 STS 临时凭据，原本可以借助“操作自身账号”的管理 API 例外创建一个不带相同限制的新服 …
状态： 已继承并发布 首个 SILO 社区版本： RELEASE.2025-12-03T12-00-00Z 上游首个修复版本： RELEASE.2025-10-15T17-29-55Z GitHub Advisory： GHSA-jjjj-jwhf-8rgr 上游修复： minio/minio#21642 带有受限内联会话策略（Session Policy）的服务账号（Service Account）或 STS 临时凭据，原本可以借助“操作自身账号”的管理 API 例外创建一个不带相同限制的新服 …