0


CVE-2023-28432 MinIO 信息泄露漏洞--漏洞复现10

文章目录

CVE-2023-28432 MinIO 信息泄露漏洞

1. MinIO简介

微信公众号搜索:南风漏洞复现文库
南风网络安全公众号首发

MinIO是美国MinIO公司的一款开源的对象存储服务器, 是一款高性能、分布式的对象存储系统. 它是一款软件产品, 可以100%的运行在标准硬件。即X86等低成本机器也能够很好的运行MinIO。MinIO中存在一处信息泄露漏洞,由于Minio集群进行信息交换的9000端口,在未经配置的情况下通过发送特殊HPPT请求进行未授权访问,进而导致MinIO对象存储的相关环境变量泄露,环境变量中包含密钥信息。泄露的信息中包含登录账号密码。

2.漏洞描述

MinIO是美国MinIO公司的一款开源的对象存储服务器。该产品支持构建用于机器学习、分析和应用程序数据工作负载的基础架构。 MinIO 存在信息泄露漏洞,该漏洞源于在集群部署中MinIO会返回所有环境变量,导致信息泄露。

CVE-2023-28432
CNNVD-202303-1795

3.影响版本

2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z

4.fofa查询语句

banner=“MinIO” || header=“MinIO” || title=“MinIO Browser”

5.漏洞复现

漏洞链接:http://xxx.com/minio/bootstrap/v1/verify
注意数据包使用post的方式
CVE-2023-28432  MinIO 信息泄露漏洞-
利用泄露的MINIO_ROOT_USER 和MINIO_ROOT_PASSWORD 值登录系统
CVE-2023-28432  MinIO 信息泄露漏洞

6.POC&EXP

关注公众号 南风网络安全 并回复 南风漏洞复现文库 即可获得该POC工具下载地址:
在这里插入图片描述

7.整改意见

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q

标签: 网络 服务器 安全

本文转载自: https://blog.csdn.net/nnn2188185/article/details/130032072
版权归原作者 sublime88 所有, 如有侵权,请联系我们删除。

“CVE-2023-28432 MinIO 信息泄露漏洞--漏洞复现10”的评论:

还没有评论