【缝隙公告】MinIO权限提升缝隙（CVE-2023-28434）

颁布功夫 2023-09-05

一、缝隙概述

CVE   ID

CVE-2023-28434

发现功夫

2023-09-05

类    型

权限提升

等    级

高危

攻击向量

网络

所需权限

低

攻击复杂度

低

用户交互

无

PoC/EXP

已公开

在野利用

已发现

 

MinIO是基于Golang开发的一款高机能、散布式的开源对象存储系统。

9月5日，GA黄金甲VSRC监测到远程威胁者在利用3月披露和建复的MinIO缝隙利用链，通过组合利用MinIO信息泄露缝隙（CVE-2023-28432）和 MinIO权限提升缝隙（CVE-2023-28434）来窃取敏感信息，并在MinIO 利用法式运行的主机上远程执行代码，目前这些缝隙的利用细节及PoC/EXP已经公开披露。

CVE-2023-28432：MinIO信息泄露缝隙（高危）

MinIO版本 RELEASE.2019-12-17T23-16-33Z 到 RELEASE.2023-03-20T20-16-18Z之前，MinIO在集群部署时，可在未经身份验证的情况下通过发送恶意要求导致MinIO接口返回所有环境变量信息（蕴含MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD），造成敏感信息泄露，可利用该缝隙实现未授权接见。

CVE-2023-28434：MinIO权限提升缝隙（高危）

MinIO版本RELEASE.2023-03-20T20-16-18Z 之前，威胁者能够使用恶意设计的要求来绕过元数据存储桶名称查抄，并在处置“PostPolicyBucket”时将对象放入任何存储桶中。但要利用该缝隙，威胁者必要具佑装arn:aws:s3:::*”权限的凭证，以及已启用的节造台 API 接见权限。作为一种缓解步骤，可启用浏览器 API 接见并关关 `MINIO_BROWSER=off`。

钻研人员已经发现，威胁者正通过利用CVE-2023-28434和CVE-2023-20432试图装置 MinIO 利用法式的后门版本（被称为Evil MinIO），该版本被批改为蕴含可能导致未授权远程代码执行的后门，威胁者使用该后门运行 Bash 号令并下载 Python 剧本（可针对Windows 和 Linux 环境）。目前蕴含MinIO源代码的批改（后门）版本的GitHub存储库已经公开。

 

二、影响领域

MinIO版本< RELEASE.2023-03-20T20-16-18Z

  

三、安全措施

3.1 升级版本

目前这些缝隙已经建复，受影响用户可升级到以下版本：

MinIO版本 >= RELEASE.2023-03-20T20-16-18Z

下载链接：

https://github.com/minio/minio/tags

3.2 一时措施

缝隙利用详情和有关检测指标可参考：

https://www.securityjoes.com/post/new-attack-vector-in-the-cloud-attackers-caught-exploiting-object-storage-services

3.3 通用建议

l  定期更新系统补丁，削减系统缝隙，提升服务器的安全性。

l  加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面。

l  使用企业级安全产品，提升企业的网络安全机能。

l  加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度。

l  启用强密码战术并设置为定期批改。

3.4 参考链接

https://github.com/minio/minio/security/advisories/GHSA-2pxw-r47w-4p8c

https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q

https://www.bleepingcomputer.com/news/security/hackers-exploit-minio-storage-system-to-breach-corporate-networks/

https://github.com/AbelChe/evil_minio

  

四、版本信息

版本

日期

备注

V1.0

2023-09-05

初次颁布

 

五、附录

5.1 GA黄金甲简介

GA黄金甲成立于1996年，是由留美博士严望佳女士创建的、占有齐全自主知识产权的信息安全高科技企业。是国内最具实力的信息安全产品、安全服务解决规划的领航企业之一。

公司总部位于北京市中关村软件园GA黄金甲大厦，公司员工6000余人，研发团队1200余人, 技术服务团队1300余人。在全国各省、视注自治区设立分支机构六十多个，占有覆盖全国的销售系统、渠路系统和技术支持系统。公司于2010年6月23日在深圳中幼板挂牌上市。（股票代码：002439）

多年来，GA黄金甲致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，援手客户全面提升其IT基础设施的安全性和出产效力，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。

5.2 关于GA黄金甲

GA黄金甲安全应急响应中心已颁布1000多个缝隙公告微风险预警，我们将持续跟踪全球最新的网络安全事务和缝隙，为企业的信息安全保驾护航。

关注我们：

image.png