خطأ في وسم الإصدارات المتأثرة بثغرة كشف المعلومات في MinIO، CVE-2023-28432

无事小狗仙
2025-01-20 15:29
محتوى أصلي
824 قراءة

MinIO

تلقيت مؤخرًا من قسم الأمن تنبيهًا بشأن ثغرة في MinIO

للوهلة الأولى، تبدو هذه الثغرة خطيرة جدًا، ولا بد من إصلاحها سريعًا.

وهكذا، بدأت العمل على الترقية.

أولًا، نتأكد من أن إصدار MinIO الذي نستخدمه هو 2021-03-26T00:00:41Z

اختير هذا الإصدار لأن ترخيصه هو Apache License 2.0 ,وهو آخر إصدار من MinIO يمكن استخدامه تجاريًا مجانًا دون الحاجة إلى نشر الشيفرة المصدرية.

في الإصدارات اللاحقة لهذا الإصدار، غيّرت MinIO اتفاقية الترخيص إلى AGPL V3.

وفقًا للتقرير، فإن هذه الثغرة

تأكيد الإصدارات المتأثرة: RELEASE.2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z

الإصدار الذي يتضمن الإصلاح: RELEASE.2023-03-20T20-16-18Z

الإصدار الذي نستخدمه حاليًا من بين الإصدارات المتأثرة.

لأن الإصدار الذي نستخدمه قديم جدًا، لم نجرؤ على الترقية إلى إصدار رئيسي أحدث.

لذلك فكرت في تنزيل الشيفرة المصدرية بنفسي، ثم إعداد رقعة لإصلاح المشكلة استنادًا إلى أجزاء الشيفرة المصدرية التي كشف عنها التقرير.

// minio/cmd/bootstrap-peer-server.go

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) { ctx := newContext(r, w, "VerifyHandler") cfg := getServerSystemCfg() logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg)) }

// minio/cmd/bootstrap-peer-server.go

func getServerSystemCfg() ServerSystemConfig { envs := env.List("MINIO_") envValues := make(map[string]string, len(envs)) for _, envK := range envs { // تخطي بعض متغيرات البيئة كجزء // من قائمة السماح ويمكن تهيئته // يختلف من عقدة إلى أخرى، حدّث skipEnvs() // اربط القيم إن وُجدت قيم بيئة كهذه if _, ok := skipEnvs[envK]; ok { continue } envValues[envK] = env.Get(envK, "") } return ServerSystemConfig{ MinioEndpoints: globalEndpoints, MinioEnv: envValues, } }

لكن عندما نزّلت الشيفرة المصدرية وانتقلت إلى فرع الإصدار الذي نستخدمه، وجدت أن هذا الإصدار لا يحتوي على الشيفرة المذكورة في التقرير

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) {
    ctx := newContext(r, w, "VerifyHandler")
    cfg := getServerSystemCfg()
    logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg))
    w.(http.Flusher).Flush()
}

func getServerSystemCfg() ServerSystemConfig {
    return ServerSystemConfig{
       MinioPlatform:  fmt.Sprintf("OS: %s | Arch: %s", runtime.GOOS, runtime.GOARCH),
       MinioEndpoints: globalEndpoints,
    }
}

يا إلهي، ما الذي يحدث؟ ما الذي يحدث؟ما الذي يحدث؟

وفقًا للتقرير، توجد أداة تحقق يمكن استخدامها للتحقق من هذه الثغرة.https://github.com/MzzdToT/CVE-2023-28432

نُزّلت شيفرة التحقق من الثغرة، وأظهرت نتيجة تنفيذها أن الإصدار الذي نستخدمه غير متأثر.