MinIO · MinIO
CVE-2023-28432
Minio Information Disclosure in Cluster Deployment
ما هي
Minio is a Multi-Cloud Object Storage framework. In a cluster deployment starting with RELEASE.2019-12-17T23-16-33Z and prior to RELEASE.2023-03-20T20-16-18Z, MinIO returns all environment variables, including `MINIO_SECRET_KEY`
and `MINIO_ROOT_PASSWORD`, resulting in information disclosure. All users of distributed deployment are impacted. All users are advised to upgrade to RELEASE.2023-03-20T20-16-18Z.
CISA: MinIO contains a vulnerability in a cluster deployment where MinIO returns all environment variables, which allows for information disclosure.
ما العمل
Apply updates per vendor instructions.
الموعد النهائي للوكالات الفدرالية الأمريكية: 12 مايو 2023
- أُضيفت إلى قائمة CISA
- 21 أبريل 2023
- نُشرت
- 22 مارس 2023
- الخطورة
- مرتفع 7.5 CVSS 3.1
- احتمال الهجمات خلال الأيام الـ30 القادمة (EPSS)
- 84% ضمن أعلى 0.3% من كل الثغرات المعروفة
- نوع الضعف
- CWE-200
- تفاصيل أكثر
- NVD · CVE.org · CISA
كل المراجع (5)
- https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q
- https://github.com/minio/minio/releases/tag/RELEASE.2023-03-20T20-16-18Z
- https://twitter.com/Andrew___Morris/status/1639325397241278464
- https://viz.greynoise.io/tag/minio-information-disclosure-attempt
- https://www.greynoise.io/blog/openai-minio-and-why-you-should-always-use-docker-cli-scan-to-keep-your-supply-…
ثغرات مُستغلّة أخرى من MinIO
| أُضيفت | الثغرة | المنتج | الخطورة | احتمال الهجوم |
|---|---|---|---|---|
| 19/09/2023 | Security Feature Bypass | MinIO | مرتفع 8.8 | 7.9% |
المصادر: Known Exploited Vulnerabilities (CISA، ملكية عامة)، وCVE records (cve.org)، وEPSS (FIRST). احتمال الهجوم هو تقدير EPSS لاحتمال أن يحاول أحد استغلال الثغرة خلال الأيام الـ30 القادمة.