हाल ही में सुरक्षा विभाग से MinIO की एक भेद्यता के बारे में चेतावनी मिली

पहली नज़र में यह भेद्यता बेहद गंभीर लगती है, इसे तो समय रहते ठीक करना ही होगा।

इसलिए, अपग्रेड का काम शुरू कर दिया।

पहले पुष्टि करें कि हम जिस MinIO संस्करण का उपयोग कर रहे हैं, वह है 2021-03-26T00:00:41Z 

यह संस्करण इसलिए चुना गया क्योंकि इसका लाइसेंस Apache License 2.0 है ,यह MinIO का अंतिम संस्करण है जिसका निःशुल्क व्यावसायिक उपयोग किया जा सकता है और जिसके लिए स्रोत कोड सार्वजनिक करना आवश्यक नहीं है।

इस संस्करण के बाद MinIO ने अपना लाइसेंस बदलकर AGPL V3 कर दिया।

रिपोर्ट के अनुसार, यह भेद्यता

प्रभावित संस्करणों की पुष्टि करें：RELEASE.2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z

सुधारित संस्करण：RELEASE.2023-03-20T20-16-18Z

हम वर्तमान में जिस संस्करण का उपयोग कर रहे हैं, वह प्रभावित संस्करणों में शामिल है।

चूँकि हमारे उपयोग वाला संस्करण बहुत पुराना है, इसलिए हम प्रमुख संस्करण को अपग्रेड करने का साहस नहीं कर पाए।

इसलिए मैंने सोचा कि स्रोत कोड स्वयं डाउनलोड करूँ और रिपोर्ट में उजागर किए गए स्रोत कोड के हिस्से के आधार पर खुद पैच लगाकर सुधार करूँ।

// minio/cmd/bootstrap-peer-server.go

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) {  ctx := newContext(r, w, "VerifyHandler") cfg := getServerSystemCfg() logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg)) }

// minio/cmd/bootstrap-peer-server.go

func getServerSystemCfg() ServerSystemConfig { envs := env.List("MINIO_")  envValues := make(map[string]string, len(envs))  for _, envK := range envs {    // इसके हिस्से के रूप में कुछ पर्यावरण चरों को छोड़ें    // श्वेतसूची का और विन्यस्त किया जा सकता था    // प्रत्येक नोड पर अलग-अलग, skipEnvs() को अद्यतन करें    // यदि ऐसे एनवायरनमेंट मान हों तो मैप करें    if _, ok := skipEnvs[envK]; ok {      continue    }    envValues[envK] = env.Get(envK, "")  }  return ServerSystemConfig{    MinioEndpoints: globalEndpoints,    MinioEnv:       envValues,  } }

लेकिन जब मैंने स्रोत कोड डाउनलोड करके हमारे उपयोग वाले संस्करण की शाखा पर स्विच किया, तो पाया कि इस संस्करण में रिपोर्ट में दिखाया गया कोड था ही नहीं

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) {
    ctx := newContext(r, w, "VerifyHandler")
    cfg := getServerSystemCfg()
    logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg))
    w.(http.Flusher).Flush()
}

func getServerSystemCfg() ServerSystemConfig {
    return ServerSystemConfig{
       MinioPlatform:  fmt.Sprintf("OS: %s | Arch: %s", runtime.GOOS, runtime.GOARCH),
       MinioEndpoints: globalEndpoints,
    }
}

अरे, क्या हुआ？क्या हुआ？क्या हुआ？

रिपोर्ट के अनुसार, इस भेद्यता की पुष्टि करने के लिए एक सत्यापन उपकरण उपलब्ध है।https://github.com/MzzdToT/CVE-2023-28432

भेद्यता जाँचने वाला कोड डाउनलोड करके चलाया गया; परिणाम से पता चला कि हमारे द्वारा उपयोग किया जा रहा संस्करण प्रभावित नहीं है।

अब मुझे संदेह होने लगा कि रिपोर्ट में दी गई संस्करण सीमा गलत है，इसलिए मैंने MinIO के स्रोत कोड की तुलना की

कोड की तुलना करने पर पता चला कि वास्तव में इस खामी को शामिल करने वाले संस्करणों की शुरुआत यहाँ से हुई थी RELEASE.2021-08-31T05-46-54Z

अभी भी यह पुष्टि नहीं हो सकी कि मेरा अनुमान सही है या नहीं，इस भेद्यता की सूचना खोजने के लिए MinIO के आधिकारिक स्रोत देखने शुरू किए 

https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q

सच्चाई सबके सामने आ गई, MinIO की आधिकारिक टीम ने प्रभावित संस्करणों की सही जानकारी दे दी

प्रभावित संस्करण

RELEASE.2021-08-31T05-46-54Z

सुधार किए गए संस्करण

RELEASE.2023-03-20T20-16-18Z

हम जिस संस्करण का इस्तेमाल कर रहे हैं, वह प्रभावित संस्करणों की सीमा में नहीं आता।

इस घटना के बाद मैंने बहुत सारे लेख खोजे।

अरे, देश के ये सुरक्षा विक्रेता भी एक-दूसरे की नकल करते रहते हैं—तुम मेरी, मैं तुम्हारी।

यह लेख 

https://cloud.tencent.com/developer/article/2315008 

साहित्यिक चोरी  

https://www.h3c.com/cn/d_202304/1830808_30003_0.htm

यह लेख

https://www.h3c.com/cn/d_202304/1830808_30003_0.htm 

फिर साहित्यिक चोरी

 https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q

नतीजा यह हुआ कि उसने गलत संस्करण की नकल कर ली, सचमुच मुसीबत में डाल दिया！

अब मैं खोज में मिले लेखों के लिंक प्रकाशित करूँगा，ये सब धोखा देने वाले निकले，मैं इनकी जमकर बखिया उधेड़ूँगा

https://stack.chaitin.com/techblog/detail/62

https://mp.weixin.qq.com/s/JgskenAZ6Cpecoe2k2AEjQ

https://blog.nsfocus.net/miniocve-2023-28432/

https://www.freebuf.com/vuls/363647.html

https://cloud.tencent.com/developer/article/2315008

https://www.h3c.com/cn/d_202304/1830808_30003_0.htm

https://zone.huoxian.cn/d/2708-cve-2023-28432-minio/17

https://www.cve.org/CVERecord?id=CVE-2023-28432