S3互換の「MinIO」に脆弱性 - OSS版は開発終了で未修正

S3互換のオブジェクトストレージ「MinIO」において、認証情報を回避されるおそれがある脆弱性が判明した。オープンソース版は最終リリースも含む全バージョンに影響があり、「MinIO AIStor」の商用版で解消されているという。

「LDAP」構成環境の「MinIO」において、トークン処理に脆弱性「CVE-2026-33419」が明らかとなったもの。

エラーメッセージの差異により有効なユーザー名を判別でき、さらに認証の試行に対する制限が設けられていないため、有効なLDAPユーザーを特定して総当たり攻撃を行うことが可能。STSの一時認証情報を取得し、対象ユーザーのS3バケットやオブジェクトへアクセスされるおそれがある。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.1」と評価されており、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

オープンソースとして提供されていたGitHubのソースリポジトリについては2026年2月13日にアーカイブされており、読み込み専用とされている。公開されているオープンソース版については最終リリースも含めてすべて脆弱性の影響を受けるという。

「MinIO」については「AIStor」ブランドによる商用版の提供へと移行しており、「MinIO AIStor RELEASE.2026-03-17T21-25-16Z」で同脆弱性が修正された。

（Security NEXT - 2026/03/24 ）ツイート