PT-2021-7169 · Minio+1 · Minio+1

Donatello · Publicado 2021-12-27 · Atualizado 2024-12-26 · CVE-2021-43858

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do MinIO anteriores à RELEASE.2021-12-27T07-23-18Z

Descrição

O problema está relacionado ao gerenciamento inseguro de privilégios no MinIO, um aplicativo nativo do Kubernetes para armazenamento em nuvem. Ele permite que um invasor remoto eleve seus privilégios criando uma chamada de API HTTP. A vulnerabilidade pode ser explorada para atualizar a política de um usuário e obter privilégios mais elevados.

Recomendações

Para versões anteriores à RELEASE.2021-12-27T07-23-18Z, atualize para a versão RELEASE.2021-12-27T07-23-18Z ou posterior, que altera o tipo de corpo de solicitação aceito e remove a capacidade de aplicar alterações de política por meio dessa API.

Como solução alternativa temporária, considere adicionar uma regra Deny explícita para desativar a API para os usuários, o que pode impedir alterações de senha.

Exploit

Correção

Incorrect Authorization

Improper Privilege Management

Enumeração de Fraquezas

CWE-863

CWE-269

Identificadores relacionados

ALT-PU-2022-1206

ALT-PU-2022-3382

ALT-PU-2023-1522

ALT-PU-2023-1908

ALT-PU-2023-2074

ALT-PU-2024-17529

BDU:2022-03596

BIT-MINIO-2021-43858

CVE-2021-43858

GHSA-J6JC-JQQC-P6CX

Produtos afetados

Alt Linux

Minio

Referências · 19

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/auxiliary/gather/minio_bootstrap_verify_info_disc.rb · Exploit
• 🔥 https://github.com/MzzdToT/CVE-2023-28432 · Exploit
• 🔥 https://github.com/Mr-xn/CVE-2023-28432 · Exploit
• 🔥 https://github.com/acheiii/CVE-2023-28432 · Exploit
• 🔥 https://github.com/0rx1/cve-2021-43858 · Exploit
• 🔥 https://github.com/gobysec/CVE-2023-28432 · Exploit
• 🔥 https://github.com/Cuerz/CVE-2023-28432 · Exploit
• 🔥 https://github.com/Chocapikk/CVE-2023-28432 · Exploit
• 🔥 https://github.com/yTxZx/CVE-2023-28432 · Exploit
• https://github.com/minio/minio/security/advisories/GHSA-j6jc-jqqc-p6cx · Correção
• https://github.com/minio/minio/pull/13976 · Correção
• https://github.com/minio/minio/pull/7949 · Correção
• https://github.com/minio/minio/commit/5a96cbbeaabd0a82b0fe881378e7c21c85091abf · Correção
• https://github.com/minio/minio/releases/tag/RELEASE.2021-12-27T07-23-18Z · Nota
• https://osv.dev/vulnerability/BIT-minio-2021-43858 · Aviso do Fabricante