标签: Snowball
-
CVE-2026-40344：Snowball 自动解包认证绕过
状态： 已发布 首个包含版本： RELEASE.2026-04-17T00-00-00Z GitHub Advisory： GHSA-9c4q-hq6p-c237 Snowball PutObjectExtractHandler 漏掉了 streaming unsigned-trailer auth case。伪造 signature 的 tar stream 可以在认证完成前进入 untar()，而一次请求又能扇出为多个对象写入。最终修复在任何 tar 字节进入解包器之前，初始化正确 …
状态： 已发布 首个包含版本： RELEASE.2026-04-17T00-00-00Z GitHub Advisory： GHSA-9c4q-hq6p-c237 Snowball PutObjectExtractHandler 漏掉了 streaming unsigned-trailer auth case。伪造 signature 的 tar stream 可以在认证完成前进入 untar()，而一次请求又能扇出为多个对象写入。最终修复在任何 tar 字节进入解包器之前，初始化正确 …