Baru-baru ini menerima peringatan kerentanan MinIO dari departemen keamanan

Sekilas, celah ini tampak sangat fatal dan harus segera diperbaiki.

Maka, pekerjaan peningkatan versi pun mulai dilakukan.

Pertama, pastikan versi MinIO yang kita gunakan adalah 2021-03-26T00:00:41Z 

Versi ini dipilih karena lisensinya adalah Apache License 2.0 ,versi terakhir MinIO yang dapat digunakan secara komersial secara gratis tanpa harus memublikasikan kode sumber.

Setelah versi ini, MinIO mengubah lisensinya menjadi AGPL V3.

Menurut laporan tersebut, kerentanan ini

Memastikan versi yang terdampak：RELEASE.2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z

Versi perbaikan：RELEASE.2023-03-20T20-16-18Z

Versi yang saat ini kita gunakan termasuk dalam versi yang terdampak.

Karena versi yang kami gunakan sudah terlalu lama, kami tidak berani meningkatkan ke versi mayor yang lebih baru.

Jadi saya terpikir untuk mengunduh sendiri kode sumbernya, lalu membuat tambalan perbaikan berdasarkan bagian kode sumber yang diungkap dalam laporan.

// minio/cmd/bootstrap-peer-server.go

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) {  ctx := newContext(r, w, "VerifyHandler")  cfg := getServerSystemCfg()  logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg)) }

// minio/cmd/bootstrap-peer-server.go

func getServerSystemCfg() ServerSystemConfig {  envs := env.List("MINIO_")  envValues := make(map[string]string, len(envs))  for _, envK := range envs {    // lewati variabel lingkungan tertentu sebagai bagian    // dari daftar yang diizinkan dan dapat dikonfigurasi    // berbeda pada setiap node, perbarui skipEnvs()    // petakan jika nilai lingkungan tersebut tersedia    if _, ok := skipEnvs[envK]; ok {      continue    }    envValues[envK] = env.Get(envK, "")  }  return ServerSystemConfig{    MinioEndpoints: globalEndpoints,    MinioEnv:       envValues,  } }

Namun setelah saya mengunduh kode sumber dan beralih ke cabang versi yang kami gunakan, saya mendapati bahwa versi ini tidak memuat kode yang disebutkan dalam laporan

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) {
    ctx := newContext(r, w, "VerifyHandler")
    cfg := getServerSystemCfg()
    logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg))
    w.(http.Flusher).Flush()
}

func getServerSystemCfg() ServerSystemConfig {
    return ServerSystemConfig{
       MinioPlatform:  fmt.Sprintf("OS: %s | Arch: %s", runtime.GOOS, runtime.GOARCH),
       MinioEndpoints: globalEndpoints,
    }
}

Aduh, ada apa ini? Ada apa ini?Apa yang terjadi？

Menurut laporan tersebut, tersedia alat verifikasi yang dapat digunakan untuk memverifikasi kerentanan ini.https://github.com/MzzdToT/CVE-2023-28432

Setelah mengunduh kode untuk memverifikasi kerentanan dan menjalankannya, hasilnya menunjukkan bahwa versi yang kami gunakan tidak terdampak.

Sekarang saya mulai menduga bahwa rentang versi dalam laporan itu keliru, lalu membandingkan kode sumber MinIO

Setelah membandingkan kode, ditemukan bahwa versi yang benar-benar menyertakan cacat ini dimulai dari RELEASE.2021-08-31T05-46-54Z

Saat ini saya masih belum dapat memastikan apakah dugaan saya benar, jadi saya mulai mencari pengumuman kerentanan tersebut di sumber resmi MinIO 

https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q

Kebenarannya akhirnya terungkap kepada publik，pihak resmi MinIO telah memberikan informasi versi terdampak yang benar

Versi yang terdampak

RELEASE.2021-08-31T05-46-54Z

Versi yang telah ditambal

RELEASE.2023-03-20T20-16-18Z

Versi yang kami gunakan tidak termasuk dalam rentang versi yang terdampak.

Setelah kejadian ini, saya mencari banyak artikel.

Ah, vendor keamanan dalam negeri ini juga saling menjiplak, kamu menjiplakku dan aku menjiplakmu.

Artikel ini 

https://cloud.tencent.com/developer/article/2315008 

Plagiarisme  

https://www.h3c.com/cn/d_202304/1830808_30003_0.htm

artikel ini

https://www.h3c.com/cn/d_202304/1830808_30003_0.htm 

Menjiplak lagi

 https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q

Ternyata versi yang disalinnya pun salah, benar-benar menyebalkan！

Berikut ini saya akan memublikasikan tautan artikel yang ditemukan lewat pencarian. Semuanya benar-benar menyesatkan, dan saya akan menguliti habis kesalahan mereka

https://stack.chaitin.com/techblog/detail/62

https://mp.weixin.qq.com/s/JgskenAZ6Cpecoe2k2AEjQ

https://blog.nsfocus.net/miniocve-2023-28432/

https://www.freebuf.com/vuls/363647.html

https://cloud.tencent.com/developer/article/2315008

https://www.h3c.com/cn/d_202304/1830808_30003_0.htm

https://zone.huoxian.cn/d/2708-cve-2023-28432-minio/17

https://www.cve.org/CVERecord?id=CVE-2023-28432