Alevsk

**Nome do software vulnerável e versões afetadas** MinIO (versões afetadas não especificadas) **Descrição** A vulnerabilidade afeta o MinIO, um armazenamento de objetos de alto desempenho, no qual usuários `admin` autorizados para a ação `admin:ServerUpdate` podem provocar um erro que retorna o conteúdo do caminho solicitado. Isso permite o acesso a conteúdos em caminhos arbitrários que possam ser lidos pelo processo do MinIO. **Recomendações** Para todas as versões afetadas, recomenda-se que os usuários realizem a atualização. Como solução alternativa temporária, considere desativar a API ServerUpdate, negando a ação `admin:ServerUpdate` para usuários `admin` por meio de políticas do IAM.

**Nome do software vulnerável e versões afetadas** Versões do Minio Console anteriores à 0.12.3 **Descrição** O Minio Console está sujeito a uma falha de contorno de autenticação na Console do Operador quando um IDP externo está habilitado. Essa falha afeta todos os usuários da versão v0.12.2 e anteriores. O número estimado de dispositivos potencialmente afetados em todo o mundo não está disponível. Não foram relatados incidentes reais em que essa vulnerabilidade tenha sido explorada. Os detalhes técnicos sobre a exploração incluem o uso de autenticação por IDP externo. Para explorar essa vulnerabilidade, um invasor precisaria atacar o Console do Operador com um IDP externo habilitado. **Recomendações** Para versões anteriores à 0.12.3, atualize para a versão 0.12.3 ou mais recente. Para usuários que não possam atualizar, adicione automountServiceAccountToken: false à implantação do operator-console no Kubernetes e desative a autenticação do provedor de identidade externo desmarcando as variáveis de ambiente `CONSOLE IDP URL`, `CONSOLE IDP CLIENT ID`, `CONSOLE IDP SECRET` e `CONSOLE IDP CALLBACK`, e use o token da conta de serviço do Kubernetes em seu lugar.

**Nome do software vulnerável e versões afetadas: Versões do MinIO anteriores à RELEASE.2021-01-30T00-20-58Z Descrição: O problema está relacionado a uma vulnerabilidade de falsificação de solicitação do lado do servidor. O aplicativo alvo pode possuir funcionalidades para importar dados de uma URL, publicar dados em uma URL ou, de outra forma, ler dados de uma URL que possa ser adulterada. Um invasor pode modificar as chamadas a essa funcionalidade fornecendo uma URL completamente diferente ou manipulando a forma como as URLs são construídas, permitindo-lhe abusar da funcionalidade no servidor para ler ou atualizar recursos internos. Isso pode permitir que o invasor leia a configuração do servidor, conecte-se a serviços internos ou execute solicitações POST para serviços internos que não deveriam ser expostos. Recomendações: Para versões anteriores à RELEASE.2021-01-30T00-20-58Z, atualize para a versão RELEASE.2021-01-30T00-20-58Z ou posterior. Como solução alternativa temporária, considere desativar o front-end do navegador definindo a variável de ambiente `MINIO BROWSER` como `off`.