CVE-2023-28432 MinIO তথ্য ফাঁসের দুর্বলতার সংস্করণ চিহ্নিতকরণে ভুল

无事小狗仙
2025-01-20 15:29
মৌলিক
৮২৪ বার পড়া হয়েছে

MinIO

সম্প্রতি নিরাপত্তা বিভাগের কাছ থেকে MinIO-এর একটি দুর্বলতা সম্পর্কে সতর্কবার্তা পেয়েছি

প্রথম দেখায় এই দুর্বলতাটি বেশ মারাত্মক মনে হয়, দ্রুত ঠিক করতেই হবে।

সুতরাং，আপগ্রেডের কাজে হাত দিলাম。

প্রথমে, নিশ্চিত করি যে আমাদের ব্যবহৃত MinIO সংস্করণ হলো 2021-03-26T00:00:41Z

এই সংস্করণ বেছে নেওয়ার কারণ হলো, এর লাইসেন্স Apache License 2.0 ,এটি MinIO-এর শেষ সংস্করণ যা বিনামূল্যে বাণিজ্যিকভাবে ব্যবহার করা যায় এবং যার জন্য সোর্স কোড প্রকাশ করতে হয় না।

এই সংস্করণের পর থেকে，MinIO তার লাইসেন্স চুক্তি পরিবর্তন করে AGPL V3 করেছে।

প্রতিবেদন অনুযায়ী，এই দুর্বলতা

প্রভাবিত সংস্করণ নিশ্চিত করুন：RELEASE.2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z

সংশোধিত সংস্করণ：RELEASE.2023-03-20T20-16-18Z

আমরা বর্তমানে যে সংস্করণ ব্যবহার করছি, সেটি প্রভাবিত সংস্করণগুলোর মধ্যে রয়েছে।

আমরা যে সংস্করণটি ব্যবহার করছি তা এতটাই পুরোনো যে বড় সংস্করণে আপগ্রেড করার সাহস হচ্ছে না।

তাই ভাবলাম, নিজেই সোর্স কোড ডাউনলোড করে প্রতিবেদনে প্রকাশিত সোর্স কোডের অংশ অনুযায়ী প্যাচ লাগিয়ে সমস্যাটি ঠিক করব।

// minio/cmd/bootstrap-peer-server.go

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) { ctx := newContext(r, w, "VerifyHandler") cfg := getServerSystemCfg() logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg)) }

// minio/cmd/bootstrap-peer-server.go

func getServerSystemCfg() ServerSystemConfig { envs := env.List("MINIO_") envValues := make(map[string]string, len(envs)) for _, envK := পরিসর envs { // অংশ হিসেবে নির্দিষ্ট পরিবেশগত ভেরিয়েবলগুলো বাদ দিন // অনুমোদিত তালিকার এবং কনফিগার করা যেতে পারে // প্রতিটি নোডে আলাদাভাবে, skipEnvs() হালনাগাদ করুন // এমন পরিবেশগত মান থাকলে ম্যাপ করুন if _, ok := skipEnvs[envK]; ok { continue } envValues[envK] = env.Get(envK, "") } return ServerSystemConfig{ MinioEndpoints: globalEndpoints, MinioEnv: envValues, } }

কিন্তু সোর্স কোড ডাউনলোড করে আমরা যে সংস্করণটি ব্যবহার করছিলাম তার ব্রাঞ্চে যাওয়ার পর আমি দেখলাম, ওই সংস্করণে প্রতিবেদনে উল্লেখ করা কোডটি নেই

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) {
    ctx := newContext(r, w, "VerifyHandler")
    cfg := getServerSystemCfg()
    logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg))
    w.(http.Flusher).Flush()
}

func getServerSystemCfg() ServerSystemConfig {
    return ServerSystemConfig{
       MinioPlatform:  fmt.Sprintf("OS: %s | Arch: %s", runtime.GOOS, runtime.GOARCH),
       MinioEndpoints: globalEndpoints,
    }
}

আরে, কী হলো？কী হলো？ব্যাপারটা কী?

প্রতিবেদন অনুযায়ী, এই দুর্বলতা যাচাই করার একটি সরঞ্জাম রয়েছে।https://github.com/MzzdToT/CVE-2023-28432

দুর্বলতা যাচাইয়ের কোড ডাউনলোড করে চালানোর পর ফলাফলে দেখা গেল，আমাদের ব্যবহৃত সংস্করণটি প্রভাবিত নয়。