PT-2021-23119 · Minio · Minio

Harshavardhana · Publicado 2021-10-13 · Atualizado 2024-03-06 · CVE-2021-41137

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Minio de RELEASE.2021-10-10T16-53-30Z a RELEASE.2021-10-12T23-59-59Z

Descrição

A vulnerabilidade envolve a contornamento das restrições de política para usuários regulares no Minio, um aplicativo nativo do Kubernetes para armazenamento em nuvem. Normalmente, a função checkKeyValid() deve retornar owner true para rootCreds. No entanto, na versão afetada, a restrição de política não funcionava corretamente para usuários que não possuíam contas de serviço (svc) ou de serviço de token de segurança (STS).

Recomendações

Para as versões RELEASE.2021-10-10T16-53-30Z a RELEASE.2021-10-12T23-59-59Z, atualize para a versão RELEASE.2021-10-13T00-23-17Z para resolver o problema.

Como solução alternativa temporária, considere reverter para a versão RELEASE.2021-10-08T23-58-24Z.

Correção

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

BIT-MINIO-2021-41137

CVE-2021-41137

GHSA-V64V-G97P-577C

Produtos afetados

Minio

Referências · 8

• https://github.com/minio/minio/security/advisories/GHSA-v64v-g97p-577c · Nota
• https://github.com/minio/minio/commit/415bbc74aacd53a120e54a663e941b1809982dbd · Correção
• https://github.com/minio/minio/pull/13422 · Correção
• https://github.com/minio/minio/pull/13388 · Correção
• https://osv.dev/vulnerability/BIT-minio-2021-41137 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41137 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-41137 · Aviso do Fabricante
• https://t.me/cibsecurity/30508 · Publicação no Telegram