Yakın zamanda güvenlik departmanından MinIO açığına ilişkin bir uyarı aldım

İlk bakışta bu açık oldukça vahim görünüyor; hemen düzeltilmesi gerekiyor.

Bunun üzerine，yükseltme çalışmasına başladık。

Öncelikle kullandığımız MinIO sürümünün şu olduğunu doğrulayın: 2021-03-26T00:00:41Z 

Bu sürümün seçilme nedeni, Apache License 2.0 lisansını kullanmasıdır ,MinIO’nun ücretsiz ticari kullanıma izin veren ve kaynak kodunu açıklamayı gerektirmeyen son sürümüdür.

MinIO, bu sürümden sonra lisansını AGPL V3 olarak değiştirdi.

Rapora göre bu güvenlik açığı

Etkilenen sürümleri doğrulayın：RELEASE.2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z

Düzeltilmiş sürüm：RELEASE.2023-03-20T20-16-18Z

Şu anda kullandığımız sürüm, etkilenen sürümler arasında.

Kullandığımız sürüm çok eski olduğu için ana sürüm yükseltmesine cesaret edemiyoruz.

Bunun üzerine kaynak kodunu kendim indirip raporda açıklanan kod bölümüne dayanarak bir yama uygulamayı ve sorunu gidermeyi düşündüm.

// minio/cmd/bootstrap-peer-server.go

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) {  ctx := newContext(r, w, "VerifyHandler")  cfg := getServerSystemCfg()  logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg)) }

// minio/cmd/bootstrap-peer-server.go

func getServerSystemCfg() ServerSystemConfig { envs := env.List("MINIO_")  envValues := make(map[string]string, len(envs))  for _, envK := range envs {    // bunun bir parçası olarak belirli ortam değişkenlerini atla    // izin listesinin bir parçası ve yapılandırılabilir    // her düğümde farklı biçimde, skipEnvs() işlevini güncelleyin    // böyle ortam değerleri varsa eşle    if _, ok := skipEnvs[envK]; ok {      continue    }    envValues[envK] = env.Get(envK, "")  }  return ServerSystemConfig{    MinioEndpoints: globalEndpoints,    MinioEnv:       envValues,  } }

Ancak kaynak kodunu indirip kullandığımız sürümün dalına geçtiğimde, bu sürümde raporda yer alan kodun bulunmadığını fark ettim

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) {
    ctx := newContext(r, w, "VerifyHandler")
    cfg := getServerSystemCfg()
    logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg))
    w.(http.Flusher).Flush()
}

func getServerSystemCfg() ServerSystemConfig {
    return ServerSystemConfig{
       MinioPlatform:  fmt.Sprintf("OS: %s | Arch: %s", runtime.GOOS, runtime.GOARCH),
       MinioEndpoints: globalEndpoints,
    }
}

Eyvah, ne oluyor? Ne oluyor?Ne oluyor?

Rapora göre, bu güvenlik açığını doğrulamak için kullanılabilecek bir doğrulama aracı var.https://github.com/MzzdToT/CVE-2023-28432

Açığı doğrulama kodunu indirip çalıştırdık; sonuç, kullandığımız sürümün etkilenmediğini gösterdi.

Bu noktada rapordaki sürüm aralığının hatalı olduğundan şüphelenmeye başladım ve MinIO kaynak kodunu karşılaştırdım

Kod karşılaştırması sonucunda, bu kusuru fiilen içeren sürümlerin başlangıcının şu olduğu görüldü RELEASE.2021-08-31T05-46-54Z

Tahminimin doğru olup olmadığını hâlâ doğrulayamıyorum; bu güvenlik açığına ilişkin duyuruyu MinIO'nun resmî kaynaklarında aramaya başladım 

https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q

Gerçek ortaya çıktı; MinIO'nun resmî ekibi etkilenen sürümleri doğru biçimde açıkladı

Etkilenen sürümler

RELEASE.2021-08-31T05-46-54Z

Yamalanmış sürümler

RELEASE.2023-03-20T20-16-18Z

Kullandığımız sürüm, etkilenen sürümler arasında değil.

Bu olayın ardından pek çok makale aradım.

Ah, ülkedeki bu güvenlik şirketleri de birbirlerinden kopyalayıp duruyor.

Bu makale 

https://cloud.tencent.com/developer/article/2315008 

İntihal  

https://www.h3c.com/cn/d_202304/1830808_30003_0.htm

Bu yazı

https://www.h3c.com/cn/d_202304/1830808_30003_0.htm 

Yine intihal

 https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q

Sonunda bir de yanlış sürümü kopyalamış, insanı gerçekten çileden çıkarıyor！

Şimdi aramada bulduğum makalelerin bağlantılarını paylaşacağım; hepsi insanı yanıltan berbat yazılar, onları mezarlarından çıkarıp acımasızca eleştireceğim

https://stack.chaitin.com/techblog/detail/62

https://mp.weixin.qq.com/s/JgskenAZ6Cpecoe2k2AEjQ

https://blog.nsfocus.net/miniocve-2023-28432/

https://www.freebuf.com/vuls/363647.html

https://cloud.tencent.com/developer/article/2315008

https://www.h3c.com/cn/d_202304/1830808_30003_0.htm

https://zone.huoxian.cn/d/2708-cve-2023-28432-minio/17

https://www.cve.org/CVERecord?id=CVE-2023-28432