MinIO漏洞 CVE-2023-28432

已于 2024-01-18 09:50:54 修改
阅读量1.3k 收藏 9
点赞数 11
文章标签： centos 开源软件
于 2024-01-16 15:14:51 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_38613494/article/details/135625640
版权

漏洞概述

MinIO集群模式中存在一个信息泄露漏洞。攻击者可以利用该漏洞获取存储在MinIO中的敏感数据。

漏洞编号：CVE-2023-28432

漏洞描述

漏洞源于MinIO集群模式的静态网页泄露问题。该漏洞允许未经身份验证的用户通过访问特定URL来获取存储在MinIO中的文件内容。攻击者可以利用该漏洞下载敏感数据，例如用户凭证、加密密钥等。
影响版本：RELEASE.2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z

实际处理

  • 旧版本的minio要升级至RELEASE.2022-10-29T06-21-33Z或更高版本时，会导致无法启动。
  • 需要部署一个新版本的minio，保持新旧2个版本的minio，再借助mc工具将老版本的文件迁移到新版本的minio中。
  • 最后修改启动配置，保持原本的配置要求。

安装新版本的minio

#创建minio目录
mkdir /home/usr/local/minio2023

#进入minio目录
cd /home/usr/local/minio2023
最低0.47元/天 解锁文章
CVE-2023-28432 MinIO 信息泄露漏洞--漏洞复现10
nnn2188185的博客
04-08 7571
MinIO是美国MinIO公司的一款开源的对象存储服务器， 是一款高性能、分布式的对象存储系统. 它是一款软件产品, 可以100%的运行在标准硬件。即X86等低成本机器也能够很好的运行MinIO。MinIO中存在一处信息泄露漏洞，由于Minio集群进行信息交换的9000端口，在未经配置的情况下通过发送特殊HPPT请求进行未授权访问，进而导致MinIO对象存储的相关环境变量泄露，环境变量中包含密钥信息。泄露的信息中包含登录账号密码。 CVE-2023-28432 CNNVD-202303-1795
Minio上传策略漏洞_关闭列出文件访问列表_使用自定义桶策略_CUSTOM---Ruoyi-Cloud-Plus工作笔记207
最新发布
添柴程序猿的专栏
03-29 132
选择以后,上面的配置,按说他会自动显示出来,这里只需要把对应的上面的配置删除掉,然后。也可以访问就出问题了.如果列出所有文件的列表了,这样就不安全,那么怎么修改?可以看到找到对应的桶,然后如果策略原来是public,那么现在修改一下。比如minio对于这个文件可以正常访问是没问题的,但是。这里注意有个,删除listBucket这里的配置就行了。然后就可以看到,再去这样访问就不行了,这样就对了.被专业测试机构,测试指出来的问题。点击编辑,选择custom。登录,minio的后台.
MinIO集群模式信息泄露漏洞（CVE-2023-28432）
qq_69775412的博客
09-07 3450
MinIO是一个用Golang开发的基于Apache License v2.0开源协议的对象存储服务。虽然轻量，却拥有着不错的性能。它兼容亚马逊S3云存储服务接口，非常适合于存储大容量非结构化的数据。该漏洞会在前台泄露用户的账户和密码。
Vulhub靶机 MinIO信息泄露漏洞（CVE-2023-28432）（渗透测试详解）
2301_78721909的博客
02-13 977
Vulhub靶机 MinIO信息泄露漏洞（CVE-2023-28432）（渗透测试详解）
CVE-2023-28432：MinIO信息泄露漏洞利用工具安装与使用教程
gitblog_00836的博客
09-12 1183
CVE-2023-28432：MinIO信息泄露漏洞利用工具安装与使用教程 项目地址:https://gitcode.com/gh_mirrors/cv/CVE-2023-28432 项目概述 本教程将引导您了解并使用由Mr-xn维护的关于CVE-2023-28432的信息泄露漏洞利用工具。此项目针对的是MinIO对象存储服务中发现的一个严重安全漏洞，允许未认证的远程攻击者通过特定请求获取敏感环境...
vulhub之MinIO信息泄露漏洞(CVE-2023-28432)
薛定谔嘚喵博客
08-30 2041
MinIO中存在一处信息泄露漏洞，由于Minio集群进行信息交换的9000端口，在未经配置的情况下通过发送特殊HPPT请求进行未授权访问，进而导致MinIO对象存储的相关环境变量泄露，环境变量中包含密钥信息（MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD），能看到对应权限的存储文件。
漏洞复现-MinIO verify 接口敏感信息泄露漏洞分析(CVE-2023-28432)
玄道的网安博客
08-12 728
MinIO 是一种高性能、高可用性的分布式存储系统，它可以存储大量数据，并提供对数据的高速读写能力。MinIO 采用分布式架构，可以在多个节点上运行，从而实现数据的分布式存储和处理。在getServerSystemCfg()方法中获取了环境变量，其中envValues采用遍历的方式获取了skipEnvs[envK]的value。MinIO的某些接口会因为信息处理不当而返回会返回所有环境变量，包括MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD，导致敏感信息泄露。
MinIO 环境变量泄漏漏洞（CVE-2023-28432）
murphysec的博客
04-04 2712
MinIO 是一个开源的对象存储服务器。 MinIO RELEASE.2023-03-20T20-16-18Z之前版本中的 bootstrap-peer-server.go#VerifyHandler 方法存在敏感信息泄漏漏洞，攻击者可向集群部署中的 MinIO 服务器的 /minio/bootstrap/v1/verify API发送POST请求，从而获取到 MINIO_SECRET_KEY 和 MINIO_ROOT_PASSWORD 等所有环境变量信息，从而以管理员身份登录 MinIO 服务。
MinIO verify 接口敏感信息泄露漏洞分析(CVE-2023-28432)
qq_35476650的博客
03-24 7868
MinIO 是一种开源的对象存储服务，它兼容 Amazon S3 API，可以在私有云或公有云中使用。MinIO 是一种高性能、高可用性的分布式存储系统，它可以存储大量数据，并提供对数据的高速读写能力。MinIO 采用分布式架构，可以在多个节点上运行，从而实现数据的分布式存储和处理。MinIO verify接口存在敏感信息泄漏漏洞，攻击者通过构造特殊URL地址，读取系统敏感信息。
CVE-2023-28432 MiniO信息泄露漏洞复现
Love&Share
04-28 8399
MiniO 是一个基于 Apache License v2.0 开源协议的对象存储服务。它兼容亚马逊 S3 云存储服务接口，非常适合于存储大容量非结构化的数据，例如图片、视频、日志文件、备份数据和容器/虚拟机镜像等在集群部署的 Minio 中，未授权的攻击者可发送恶意的 HTTP 请求来获取 Minio 环境变量中的敏感信息（MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD），可能导致攻击者以管理员权限登录 Minio，分布式部署的所有用户都会受到影响，单机用户没有影响。
【漏洞复现】MinIO敏感信息泄露（CVE-2023-28432）
刘家华(游戏开发)
04-23 1941
MinIO发现了信息泄露漏洞
CVE-2023-28432-MinIO集群模式信息泄露漏洞流量分析
12306小哥
07-12 919
MinIO是一个开源对象存储系统。在其版本（不含）以前，集群模式部署下存在一处信息泄露漏洞，攻击者可以通过发送一个POST数据包获取进程所有的环境变量，其中就包含账号密码和。
CVE-2021-21287：MiniO未授权SSRF漏洞
就是法老
08-24 7119
一：介绍 MinIO 是一个基于Apache License v2.0开源协议的对象存储服务。它兼容亚马逊S3云存储服务接口，非常适合于存储大容量非结构化的数据，例如图片、视频、日志文件、备份数据和容器/虚拟机镜像等，而一个对象文件可以是任意大小，从几kb到最大5T不等。 MinIO是一个非常轻量的服务,可以很简单的和其他应用的结合，类似 NodeJS, Redis 或者 MySQL。 二：漏洞详情 由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞 攻击者可以通
MiniO未授权SSRF漏洞（CVE-2021-21287）
xiaobai_20190815的博客
06-09 7612
Apache License MiniO未授权SSRF漏洞（CVE-2021-21287）
MinIO信息泄露漏洞(CVE-2023-28432)批量检测POC
热门推荐
今天是几号的博客
03-28 1万+
MinIO 是一种开源对象存储服务，与 Amazon S3 API 兼容，可用于私有云或公共云。MinIO是一种高性能、高可用的分布式存储系统，可以存储大量数据，并提供高速的数据读写能力。MinIO采用分布式架构，可以在多个节点上运行，实现数据的分布式存储和处理。在集群部署的Minio中，未授权的攻击者可发送恶意的HTTP请求来获取Minio环境变量中的敏感信息（MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD），可能导致攻击者以管理员权限登录Minio。
CVE-2023-28432
07-28
CVE-2023-28432是指MiniO验证接口敏感信息泄露漏洞。\[1\]根据引用\[2\]中的描述，该漏洞可能导致敏感信息的泄露，其中包括MINIO_CERT_PASSWD等敏感信息。这意味着攻击者可能能够通过该漏洞获取到敏感信息。然而，根据引用\[3\]中的HTTP响应，我们无法确定该漏洞是否已被修复。因此，如果您正在使用MiniO，请确保及时更新到最新版本以修复该漏洞。 #### 引用[.reference_title] - *1* [Goby漏洞更新 | MinIO verify 接口敏感信息泄露漏洞（CVE-2023-28432）](https://blog.youkuaiyun.com/m0_46699477/article/details/129742229)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control_2,239^v3^insert_chatgpt"}} ] [.reference_item] - *2* *3* [MinIO verify 接口敏感信息泄露漏洞分析(CVE-2023-28432)](https://blog.youkuaiyun.com/qq_35476650/article/details/129748849)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control_2,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

隐小成

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值