MinIO · MinIO
CVE-2023-28432
Minio Information Disclosure in Cluster Deployment
Was es ist
Minio is a Multi-Cloud Object Storage framework. In a cluster deployment starting with RELEASE.2019-12-17T23-16-33Z and prior to RELEASE.2023-03-20T20-16-18Z, MinIO returns all environment variables, including `MINIO_SECRET_KEY`
and `MINIO_ROOT_PASSWORD`, resulting in information disclosure. All users of distributed deployment are impacted. All users are advised to upgrade to RELEASE.2023-03-20T20-16-18Z.
CISA: MinIO contains a vulnerability in a cluster deployment where MinIO returns all environment variables, which allows for information disclosure.
Was zu tun ist
Apply updates per vendor instructions.
Frist für US-Bundesbehörden: 12. Mai 2023
- Zur CISA-Liste hinzugefügt
- 21. April 2023
- Veröffentlicht
- 22. März 2023
- Schweregrad
- Hoch 7,5 CVSS 3.1
- Wahrscheinlichkeit von Angriffen in den nächsten 30 Tagen (EPSS)
- 84% unter den obersten 0,3% aller bekannten Schwachstellen
- Schwachstellentyp
- CWE-200
- Mehr Details
- NVD · CVE.org · CISA
Alle Quellen (5)
- https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q
- https://github.com/minio/minio/releases/tag/RELEASE.2023-03-20T20-16-18Z
- https://twitter.com/Andrew___Morris/status/1639325397241278464
- https://viz.greynoise.io/tag/minio-information-disclosure-attempt
- https://www.greynoise.io/blog/openai-minio-and-why-you-should-always-use-docker-cli-scan-to-keep-your-supply-…
Weitere ausgenutzte Schwachstellen von MinIO
| Hinzugefügt | Schwachstelle | Produkt | Schweregrad | Angriffswahrscheinlichkeit |
|---|---|---|---|---|
| 19.09.2023 | Security Feature Bypass | MinIO | Hoch 8,8 | 7,9% |
Quellen: Known Exploited Vulnerabilities (CISA, gemeinfrei), CVE records (cve.org) und EPSS (FIRST). Die Angriffswahrscheinlichkeit ist die EPSS-Schätzung, dass jemand in den nächsten 30 Tagen versucht, die Schwachstelle auszunutzen.