CVE-2023-28432 MinIO情報漏えい脆弱性のバージョン表記の誤り

无事小狗仙
2025-01-20 15:29
オリジナル
閲覧 824 回

MinIO

最近、セキュリティ部門からMinIOの脆弱性に関する警告を受け取りました

一見したところ、この脆弱性はかなり致命的で、速やかに修正しなければなりませんね。

こうして、アップグレード作業に着手しました。

まず、使用しているMinIOのバージョンが次のものであることを確認します 2021-03-26T00:00:41Z

このバージョンを選んだのは、ライセンスが Apache License 2.0 であり、無料で商用利用でき、ソースコードの公開も必要ない MinIO の最後のバージョンだからです。

このバージョン以降、MinIOはライセンスをAGPL V3に変更しました。

報告によると、この脆弱性は

影響を受けることが確認されたバージョン：RELEASE.2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z

修正バージョン：RELEASE.2023-03-20T20-16-18Z

現在使用しているバージョンは、影響を受けるバージョンに含まれています。

使用しているバージョンがあまりにも古いため、メジャーバージョンの更新に踏み切れません。

そこで、自分でソースコードをダウンロードし、報告書で公開されたソースコードの部分に基づいて、自分でパッチを当てて修正しようと考えた。

// minio/cmd/bootstrap-peer-server.go

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) { ctx := newContext(r, w, "VerifyHandler") cfg := getServerSystemCfg() logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg)) }

// minio/cmd/bootstrap-peer-server.go

func getServerSystemCfg() ServerSystemConfig { envs := env.List("MINIO_") envValues := make(map[string]string, len(envs)) for _, envK := range envs { // 一部の環境変数を、その一環としてスキップする // ホワイトリストのもので、設定可能だった // 各ノードで異なるため、skipEnvs()を更新 // 該当する環境変数の値がある場合はマッピングする if _, ok := skipEnvs[envK]; ok { continue } envValues[envK] = env.Get(envK, "") } return ServerSystemConfig{ MinioEndpoints: globalEndpoints, MinioEnv: envValues, } }

ところが、ソースコードをダウンロードし、私たちが使用しているバージョンのブランチに切り替えたところ、このバージョンには報告書に記載されたコードがないことに気づきました

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) {
    ctx := newContext(r, w, "VerifyHandler")
    cfg := getServerSystemCfg()
    logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg))
    w.(http.Flusher).Flush()
}

func getServerSystemCfg() ServerSystemConfig {
    return ServerSystemConfig{
       MinioPlatform:  fmt.Sprintf("OS: %s | Arch: %s", runtime.GOOS, runtime.GOARCH),
       MinioEndpoints: globalEndpoints,
    }
}

あれ、どうしたの？どうしたの？どういうこと？

報告によると、この脆弱性を検証できるツールがあります。https://github.com/MzzdToT/CVE-2023-28432

脆弱性の検証コードをダウンロードして実行したところ、使用中のバージョンは影響を受けないという結果が出ました。