【漏洞通告】MinIO權限提升漏洞（CVE-2021-43858）
發布時間 2021-12-280x00 漏洞概述
CVE ID | CVE-2021-43858 | 時 間 | 2021-12-28 |
類 型 | 權限提升 | 等 級 | 高危 |
遠程利用 | 是 | 影響范圍 | |
攻擊復雜度 | 低 | 可用性 | 高 |
用戶交互 | 無 | 所需權限 | 低 |
PoC/EXP | 在野利用 |
0x01 漏洞詳情
MinIO是基于Apache License v2.0發布的一款開源對象存儲服務器，專為AI等云原生工作負載而設計，并友好支持Kubernetes。
2021年12月28日，MinIO官方發布安全公告，修復了MinIO中的一個權限提升漏洞（CVE-2021-43858），該漏洞的CVSSv3評分為8.8。
MinIO AddUser() admin API 主要用于創建用戶或更新用戶密碼。由于其代碼實現存在安全問題，AddUser() API接受"policy"字段，攻擊者可以通過手工制作HTTP API調用以更新用戶策略并實現權限提升。
但攻擊者需要事先了解Admin API調用才能利用此漏洞，并且必須具有訪問MinIO服務的有效憑據。
影響范圍
MinIO版本 < RELEASE.2021-12-27T07-23-18Z
0x02 處置建議
目前此漏洞已經修復，建議受影響用戶及時升級更新至MinIO RELEASE.2021-12-27T07-23-18Z版本。
下載鏈接：
https://github.com/minio/minio/releases/tag/RELEASE.2021-12-27T07-23-18Z
注：版本RELEASE.2021-12-27T07-23-18Z中的補丁更改了接受的請求主體類型，并刪除了通過該API應用策略更改的能力（任何策略更改只允許使用 Policy 'set' API 調用）。
緩解措施：
可以通過添加Deny規則來禁用用戶的API，從而禁用更改密碼。
0x03 參考鏈接
https://github.com/minio/minio/security/advisories/GHSA-j6jc-jqqc-p6cx
https://github.com/minio/minio/releases
https://nvd.nist.gov/vuln/detail/CVE-2021-43858
0x04 更新版本
版本 | 日期 | 修改內容 |
V1.0 | 2021-12-28 | 首次發布 |
0x05 關于我們
公司簡介
啟明星辰公司成立于1996年，并于2010年6月23日在深交所中小板正式掛牌上市，是國內極具實力的、擁有完全自主知識產權的網絡安全產品、可信安全管理平臺、安全服務與解決方案的綜合提供商。
公司總部位于北京市中關村軟件園，在全國各省、市、自治區設有分支機構，擁有覆蓋全國的渠道體系和技術支持中心，并在北京、上海、成都、廣州、長沙、杭州等多地設有研發中心。
多年來，啟明星辰致力于提供具有國際競爭力的自主創新的安全產品和最佳實踐服務，幫助客戶全面提升其IT基礎設施的安全性和生產效能，為打造和提升國際化的民族信息安全產業領軍品牌而不懈努力。
關于我們
啟明星辰安全應急響應中心主要針對重要安全漏洞的預警、跟蹤和分享全球最新的威脅情報和安全報告。
關注以下公眾號，獲取全球最新安全資訊：
京公網安備11010802024551號