CVE-2023-28432 MinIO 信息泄露漏洞--漏洞复现10

文章目录

  • CVE-2023-28432 MinIO 信息泄露漏洞
    • 1. MinIO简介
    • 2.漏洞描述
    • 3.影响版本
    • 4.fofa查询语句
    • 5.漏洞复现
    • 6.POC&EXP
    • 7.整改意见

CVE-2023-28432 MinIO 信息泄露漏洞

1. MinIO简介

微信公众号搜索:南风漏洞复现文库
南风网络安全公众号首发

MinIO是美国MinIO公司的一款开源的对象存储服务器, 是一款高性能、分布式的对象存储系统. 它是一款软件产品, 可以100%的运行在标准硬件。即X86等低成本机器也能够很好的运行MinIO。MinIO中存在一处信息泄露漏洞,由于Minio集群进行信息交换的9000端口,在未经配置的情况下通过发送特殊HPPT请求进行未授权访问,进而导致MinIO对象存储的相关环境变量泄露,环境变量中包含密钥信息。泄露的信息中包含登录账号密码。

2.漏洞描述

MinIO是美国MinIO公司的一款开源的对象存储服务器。该产品支持构建用于机器学习、分析和应用程序数据工作负载的基础架构。 MinIO 存在信息泄露漏洞,该漏洞源于在集群部署中MinIO会返回所有环境变量,导致信息泄露。

CVE-2023-28432
CNNVD-202303-1795

3.影响版本

2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z

4.fofa查询语句

banner=“MinIO” || header=“MinIO” || title=“MinIO Browser”

5.漏洞复现

漏洞链接:http://xxx.com/minio/bootstrap/v1/verify
注意数据包使用post的方式
CVE-2023-28432 MinIO 信息泄露漏洞--漏洞复现10_第1张图片
利用泄露的MINIO_ROOT_USER 和MINIO_ROOT_PASSWORD 值登录系统
CVE-2023-28432 MinIO 信息泄露漏洞--漏洞复现10_第2张图片

6.POC&EXP

关注公众号 南风网络安全 并回复 南风漏洞复现文库 即可获得该POC工具下载地址:
CVE-2023-28432 MinIO 信息泄露漏洞--漏洞复现10_第3张图片

7.整改意见

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q

你可能感兴趣的:(漏洞复现,网络,服务器,安全,web安全)