Security
10 篇-
SILO 20261026：Server、mcli 与 KES 联合发布
SILO、mcli 与 PGSTY KES 20261026 现已联合发布，配套 SILO Console 2.5.1 与 silo-pkg 3.15.2。本文整合了 10 月 24—25 日的维护记录，完整说明自 20261018 正式版以来的所有变更。三个可执行组件采用统一的发布日期与包版本号；KES 仍作为可选的外部密钥服务独立部署。 发布组件 组件 版本 源码 交付形式 SILO Server 20261026000000.0.0 c3ad836aed0d 平台归档、Linux 软件包 …
SILO、mcli 与 PGSTY KES 20261026 现已联合发布，配套 SILO Console 2.5.1 与 silo-pkg 3.15.2。本文整合了 10 月 24—25 日的维护记录，完整说明自 20261018 正式版以来的所有变更。三个可执行组件采用统一的发布日期与包版本号；KES 仍作为可选的外部密钥服务独立部署。 发布组件 组件 版本 源码 交付形式 SILO Server 20261026000000.0.0 c3ad836aed0d 平台归档、Linux 软件包 …
-
IAM Admin API 授权边界修复
Server 20261018 包含了 PR #242（基于基线 00a375c4e 的修复提交 2616d43fb，合并提交 4e55fc7db）以及批量自查询后续修复 995439260，用于修复 SN-2026-017。本文记录问题范围、Handler 级授权契约、空策略与 claims 归属处理、损坏密钥清理语义、性能开销、被否决的候选方案以及回归验证结果。 问题与范围 此前部分 Admin Handler 在授权拒绝后仍以“目标属于调用者”为由放行，列出自身服务账号时甚至可能直接跳过授 …
Server 20261018 包含了 PR #242（基于基线 00a375c4e 的修复提交 2616d43fb，合并提交 4e55fc7db）以及批量自查询后续修复 995439260，用于修复 SN-2026-017。本文记录问题范围、Handler 级授权契约、空策略与 claims 归属处理、损坏密钥清理语义、性能开销、被否决的候选方案以及回归验证结果。 问题与范围 此前部分 Admin Handler 在授权拒绝后仍以“目标属于调用者”为由放行，列出自身服务账号时甚至可能直接跳过授 …
-
对象锁保留期越权与版本覆写漏洞修复设计（SN-2026-015 / SN-2026-016）
本文档完整记录针对外部报告与内部关联排查发现的两处对象锁（Object Lock / WORM）安全缺陷——**SN-2026-015（PutObjectRetention 绕过请求头越权与条件策略失灵）**与 SN-2026-016（版本寻址写入覆写绕过及写路径锁缺口）——的事实核验、Git 历史溯源、修复设计、关键路径影响评估与候选方案的权衡取舍。完整修复（#234、#235、#241）已随 Server 20261018 正式发布。 关联公开安全公告： SN-2026-015 / …
本文档完整记录针对外部报告与内部关联排查发现的两处对象锁（Object Lock / WORM）安全缺陷——**SN-2026-015（PutObjectRetention 绕过请求头越权与条件策略失灵）**与 SN-2026-016（版本寻址写入覆写绕过及写路径锁缺口）——的事实核验、Git 历史溯源、修复设计、关键路径影响评估与候选方案的权衡取舍。完整修复（#234、#235、#241）已随 Server 20261018 正式发布。 关联公开安全公告： SN-2026-015 / …
-
SN-2026-015 与 SN-2026-016：S3 Object Lock 治理模式保留锁绕过与指定版本号原地覆盖漏洞分析
SN-2026-015 与 SN-2026-016 涵盖了在 SILO Server 20261018 中通过 PR #234（14042b5aa）与 PR #235（0d3ba5d4c）修复的两组 S3 Object Lock 合规保留与不可变性漏洞（配套修复设计方案）。虽然删除路径此前已按 CVE-2023-25812 正确校验 s3:BypassGovernanceRetention，但保留期修改路径（PutObjectRetention）与四条原地版本覆写路径仍存在绕过缺陷。 漏洞范围 …
SN-2026-015 与 SN-2026-016 涵盖了在 SILO Server 20261018 中通过 PR #234（14042b5aa）与 PR #235（0d3ba5d4c）修复的两组 S3 Object Lock 合规保留与不可变性漏洞（配套修复设计方案）。虽然删除路径此前已按 CVE-2023-25812 正确校验 s3:BypassGovernanceRetention，但保留期修改路径（PutObjectRetention）与四条原地版本覆写路径仍存在绕过缺陷。 漏洞范围 …
-
SN-2026-011：修复与发布状态
SN-2026-011 于 2026-09-13 在 Server 主分支修复（起始提交 123325430），并已随 Server 20260916 正式发布。Server RELEASE.2026-09-03T13-18-01Z 及更早版本均受影响（同期发布的 silo-pkg v3.14.0 与 mcli 20260913 属于依赖库与客户端版本，不包含服务端二进制修复）。 在未修复版本中，持有合法签名 PUT 请求的调用方可以追加未签名的 x-amz-copy-source 请求头，将该 …
SN-2026-011 于 2026-09-13 在 Server 主分支修复（起始提交 123325430），并已随 Server 20260916 正式发布。Server RELEASE.2026-09-03T13-18-01Z 及更早版本均受影响（同期发布的 silo-pkg v3.14.0 与 mcli 20260913 属于依赖库与客户端版本，不包含服务端二进制修复）。 在未修复版本中，持有合法签名 PUT 请求的调用方可以追加未签名的 x-amz-copy-source 请求头，将该 …
-
SILO Server 20260903 发布前复审
本文记录 SILO 20260903（RELEASE.2026-09-03T13-18-01Z，对应提交 9b11dc9469e650815b775cb47b039610644f5da4，候选复审提交 6e112d1856d4f3655f30fc81ee47e9f43d50d8f3，对比基线 RELEASE.2026-08-06T00-00-00Z 即 3be10fcc1a44f6620ded0bd303461f9d688cca23）的发布前工程复审：第二轮复审发现了哪些遗漏缺陷、修复边界如何收 …
本文记录 SILO 20260903（RELEASE.2026-09-03T13-18-01Z，对应提交 9b11dc9469e650815b775cb47b039610644f5da4，候选复审提交 6e112d1856d4f3655f30fc81ee47e9f43d50d8f3，对比基线 RELEASE.2026-08-06T00-00-00Z 即 3be10fcc1a44f6620ded0bd303461f9d688cca23）的发布前工程复审：第二轮复审发现了哪些遗漏缺陷、修复边界如何收 …
-
SN-2026-019：通知子系统配置键注册缺失与校验报错脱敏
SN-2026-019 涵盖了 Server 20260804（提交 162ded343 与 672c07a0f，pgsty/silo#39）修复的一类通知子系统配置缺陷：通知解析器与旧版配置迁移代码读写了未在 Default*KVS 中注册的配置键，CheckValidKeys 在校验失败时将包含敏感凭据的原始 key=value 拼入错误消息，且 FetchEnabledTargets 在遇到首个校验错误时会直接中止全部通知目标的加载。随后在 Server …
SN-2026-019 涵盖了 Server 20260804（提交 162ded343 与 672c07a0f，pgsty/silo#39）修复的一类通知子系统配置缺陷：通知解析器与旧版配置迁移代码读写了未在 Default*KVS 中注册的配置键，CheckValidKeys 在校验失败时将包含敏感凭据的原始 key=value 拼入错误消息，且 FetchEnabledTargets 在遇到首个校验错误时会直接中止全部通知目标的加载。随后在 Server …
-
SN-2026-018：客户端源地址信任边界、转发头欺骗与 aws:SourceIp 加固
SN-2026-018 修复了 silo-pkg v3.12.0（提交 62f326d）与 Server 20260804（00a8171cb，pgsty/silo#41）中影响 aws:SourceIp IAM 条件求值、审计日志、桶事件通知及管理端 HTTP 追踪的客户端源 IP 欺骗问题：handlers.GetSourceIP 此前默认无条件信任任意 TCP 对端发来的 X-Forwarded-For、X-Real-IP 与 RFC 7239 Forwarded 请求头；即便管理员显式设 …
SN-2026-018 修复了 silo-pkg v3.12.0（提交 62f326d）与 Server 20260804（00a8171cb，pgsty/silo#41）中影响 aws:SourceIp IAM 条件求值、审计日志、桶事件通知及管理端 HTTP 追踪的客户端源 IP 欺骗问题：handlers.GetSourceIP 此前默认无条件信任任意 TCP 对端发来的 X-Forwarded-For、X-Real-IP 与 RFC 7239 Forwarded 请求头；即便管理员显式设 …
-
SN-2026-004：对象级策略授权越界命中桶级变更操作
SN-2026-004 修复了 silo-pkg v3.11.0（提交 3c24ad1、1f97549、d8b1fa7）与 Server 20260804（97b7d2804；上游参考 minio/minio#20449）中的一处 IAM 资源匹配缺陷：在评估桶级 S3 请求（args.ObjectName == ""）时，Statement.IsAllowed 会固定在桶名末尾拼接 '/' 生成 "bucket/" 作为待匹配资源字符串，导致原本仅面向桶内对象的通配授权（如 Allow …
SN-2026-004 修复了 silo-pkg v3.11.0（提交 3c24ad1、1f97549、d8b1fa7）与 Server 20260804（97b7d2804；上游参考 minio/minio#20449）中的一处 IAM 资源匹配缺陷：在评估桶级 S3 请求（args.ObjectName == ""）时，Statement.IsAllowed 会固定在桶名末尾拼接 '/' 生成 "bucket/" 作为待匹配资源字符串，导致原本仅面向桶内对象的通配授权（如 Allow …
-
SN-2026-003：s3:versionid 条件求值缺陷与请求条件隔离加固
SN-2026-003 与 SN-2026-005 涵盖了随 Server 20260804（提交 80c2c9d03、2f55347f7、eee05a17c 以及 silo-pkg v3.12.0 提交 2b087a1；pgsty/silo#40、pgsty/silo#53）发布的一组 S3 IAM 策略求值加固： SN-2026-003（80c2c9d03）：当请求未携带 versionId 时，getConditionValues 依然无条件写入了 …
SN-2026-003 与 SN-2026-005 涵盖了随 Server 20260804（提交 80c2c9d03、2f55347f7、eee05a17c 以及 silo-pkg v3.12.0 提交 2b087a1；pgsty/silo#40、pgsty/silo#53）发布的一组 S3 IAM 策略求值加固： SN-2026-003（80c2c9d03）：当请求未携带 versionId 时，getConditionValues 依然无条件写入了 …