CVE-2023-28432MinIO 信息泄露漏洞

漏洞描述

2021年12月29日，监测到MinIO官方发布CVE-2021-43858MinIO权限提升漏洞安全通告。拥有MinIO普通用户账户权限的攻击者可通过构造恶意数据包调用AddUser()API，从而更新用户的Policy并提升用户权限至管理员，接管MinIO管理功能。这个API用于更新用户密码及帐户状态，并允许普通用户更新密码。在版本“RELEASE.2021-12-27T07-23-18Z”中的更改了接收的请求正文类型，并取消了通过此API应用策略的功能。

目前，MinIO官方已发布可更新版本，建议客户尽快自查并修复。

漏洞编号

CVE-2023-28432

漏洞危害

未经身份认证的远程攻击者通过发送特殊HTTP请求即可获取所有环境变量，其中包括MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD，造成敏感信息泄露，最终可能导致攻击者以管理员身份登录MinIO。

漏洞等级

高危

受影响版本

MinIO < RELEASE.2019-12-17T23-16-33Z

修复方案

官方已经发布了版本更新,请受影响用户尽快升级更新

补丁信息

补丁名称：MinIO 信息泄露漏洞补丁

补丁链接：https://github.com/minio/minio/releases/tag/RELEASE.2023-03-20T20-16-18Z

参考链接

来源：MinIO 官方
链接：https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q

原文始发于微信公众号（NG安全团队）：CVE-2023-28432MinIO 信息泄露漏洞