BDU:2023-05199

Опубликовано: 22 мар. 2023

Источник: fstec

CVSS3: 8.8

CVSS2: 9

EPSS Средний

Описание

Уязвимость компонента PostPolicyBucket сервера хранения объектов MinIO связана с ошибками при управлении привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированных HTTP-запросов

Вендор

ООО «Ред Софт»

MinIO Inc

Наименование ПО

РЕД ОС

MinIO

Версия ПО

7.3 (РЕД ОС)

до 2023-03-20t20-16-18z (MinIO)

Тип ПО

Операционная система

Сетевое средство

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- включение доступа к API-браузера и отключение уязвимого функционала путем установки значения «MINIO_BROWSER=off»;

- использование средств межсетевого экранирования уровня веб-приложений для ограничения возможности удаленного доступа;

- использование антивирусного программного обеспечения для отслеживания средств эксплуатации уязвимости.

Использование рекомендаций производителя:

https://github.com/minio/minio/commit/67f4ba154a27a1b06e48bfabda38355a010dfca5

https://github.com/minio/minio/pull/16849

https://github.com/minio/minio/security/advisories/GHSA-2pxw-r47w-4p8c

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-28434
CVE

EPSS

Процентиль: 97%

0.33706

Средний

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

ROS-20240807-05

CVSS3: 8.8

redos

11 месяцев назад

Множественные уязвимости minio

CVE-2023-28434

CVSS3: 8.8

nvd

больше 2 лет назад

Minio is a Multi-Cloud Object Storage framework. Prior to RELEASE.2023-03-20T20-16-18Z, an attacker can use crafted requests to bypass metadata bucket name checking and put an object into any bucket while processing `PostPolicyBucket`. To carry out this attack, the attacker requires credentials with `arn:aws:s3:::*` permission, as well as enabled Console API access. This issue has been patched in RELEASE.2023-03-20T20-16-18Z. As a workaround, enable browser API access and turn off `MINIO_BROWSER=off`.

CVE-2023-28434

CVSS3: 8.8

debian

больше 2 лет назад

Minio is a Multi-Cloud Object Storage framework. Prior to RELEASE.2023 ...

GHSA-2pxw-r47w-4p8c

CVSS3: 8.8

github

почти 2 года назад

Privilege Escalation on Linux/MacOS

EPSS

Процентиль: 97%

0.33706

Средний

8.8 High

CVSS3

9 Critical

CVSS2