CVE-2023-28434

Yüksek CISA KEV: Aktif İstismar

Teknik Veri (Otomatik)

CVSS Skoru: 8.8
EPSS: 8.1%
CWE: CWE-269
KEV Durumu: Evet

Yayım tarihi: 22 Mart 2023 · CISA KEV son iyileştirme tarihi: 10 Ekim 2023

Etkilenen: minio minio

Minio, bir Çoklu-Bulut Nesne Depolama çerçevesidir. RELEASE.2023-03-20T20-16-18Z'den önce, bir saldırgan crafted istekleri kullanarak meta veri sepeti adı denetimini atlayabilir ve `PostPolicyBucket` işlerken herhangi bir sepete bir nesne koyabilir. Bu saldırıyı gerçekleştirmek için saldırgana `arn:aws:s3:::*` izni olan kimlik bilgileri ile birlikte etkin Console API erişimi gereklidir. Bu sorun RELEASE.2023-03-20T20-16-18Z'de düzeltildi. Geçici bir çözüm olarak, tarayıcı API erişimini etkinleştirin ve `MINIO_BROWSER=off` değerini kapatın.

Orijinal açıklama (İngilizce)

Minio is a Multi-Cloud Object Storage framework. Prior to RELEASE.2023-03-20T20-16-18Z, an attacker can use crafted requests to bypass metadata bucket name checking and put an object into any bucket while processing `PostPolicyBucket`. To carry out this attack, the attacker requires credentials with `arn:aws:s3:::*` permission, as well as enabled Console API access. This issue has been patched in RELEASE.2023-03-20T20-16-18Z. As a workaround, enable browser API access and turn off `MINIO_BROWSER=off`.

Referanslar

NVD kaydı ↗CVE.org ↗CISA KEV kataloğu ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.