Gần đây tôi nhận được một cảnh báo về lỗ hổng MinIO do bộ phận bảo mật gửi đến

Thoạt nhìn, lỗ hổng này quả thực rất nghiêm trọng, phải sửa kịp thời thôi.

Thế là bắt tay vào việc nâng cấp.

Trước tiên, xác nhận phiên bản MinIO chúng ta sử dụng là 2021-03-26T00:00:41Z 

Sở dĩ chọn phiên bản này là vì giấy phép của nó là Apache License 2.0 ,đây là phiên bản cuối cùng của MinIO có thể dùng thương mại miễn phí mà không cần công khai mã nguồn.

Sau phiên bản này, MinIO đã đổi giấy phép sang AGPL V3.

Theo báo cáo, lỗ hổng này

Xác nhận phiên bản bị ảnh hưởng: RELEASE.2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z

Phiên bản sửa lỗi：RELEASE.2023-03-20T20-16-18Z

Phiên bản chúng ta đang sử dụng nằm trong các phiên bản bị ảnh hưởng.

Do phiên bản chúng tôi đang sử dụng quá cũ, chúng tôi không dám nâng cấp lên phiên bản lớn mới.

Vì vậy, tôi nghĩ sẽ tự tải mã nguồn, dựa vào phần mã nguồn được công bố trong báo cáo để vá lỗi.

// minio/cmd/bootstrap-peer-server.go

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) {  ctx := newContext(r, w, "VerifyHandler")  cfg := getServerSystemCfg()  logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg)) }

// minio/cmd/bootstrap-peer-server.go

func getServerSystemCfg() ServerSystemConfig {  envs := env.List("MINIO_")  envValues := make(map[string]string, len(envs))  for _, envK := range envs {    // bỏ qua một số biến môi trường như một phần    // thuộc danh sách cho phép và có thể được cấu hình    // khác nhau trên từng nút, cập nhật skipEnvs()    // ánh xạ nếu có các giá trị môi trường như vậy    if _, ok := skipEnvs[envK]; ok {      continue    }    envValues[envK] = env.Get(envK, "")  }  return ServerSystemConfig{    MinioEndpoints: globalEndpoints,    MinioEnv:       envValues,  } }

Nhưng khi tải mã nguồn về rồi chuyển sang nhánh phiên bản mà chúng tôi sử dụng, tôi phát hiện phiên bản này không có đoạn mã trong báo cáo

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) {
    ctx := newContext(r, w, "VerifyHandler")
    cfg := getServerSystemCfg()
    logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg))
    w.(http.Flusher).Flush()
}

func getServerSystemCfg() ServerSystemConfig {
    return ServerSystemConfig{
       MinioPlatform:  fmt.Sprintf("OS: %s | Arch: %s", runtime.GOOS, runtime.GOARCH),
       MinioEndpoints: globalEndpoints,
    }
}

Ôi chao, chuyện gì vậy? Chuyện gì vậy?Chuyện gì vậy?

Theo báo cáo, có một công cụ xác minh có thể dùng để kiểm chứng lỗ hổng này.https://github.com/MzzdToT/CVE-2023-28432

Tải mã kiểm chứng lỗ hổng xuống, kết quả sau khi chạy mã cho thấy phiên bản chúng tôi sử dụng không bị ảnh hưởng.

Lúc này tôi bắt đầu nghi ngờ phạm vi phiên bản trong báo cáo bị sai, nên đã đối chiếu mã nguồn MinIO

Sau khi so sánh mã nguồn, phát hiện phiên bản thực sự đưa lỗi này vào bắt đầu từ RELEASE.2021-08-31T05-46-54Z

Hiện vẫn chưa thể xác nhận suy đoán của tôi có đúng hay không, bắt đầu tra cứu thông báo về lỗ hổng này từ nguồn chính thức của MinIO 

https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q

Sự thật đã được làm sáng tỏ, phía chính thức của MinIO đã công bố chính xác các phiên bản bị ảnh hưởng

Các phiên bản bị ảnh hưởng

RELEASE.2021-08-31T05-46-54Z

Các phiên bản đã vá lỗi

RELEASE.2023-03-20T20-16-18Z

Phiên bản chúng ta sử dụng không nằm trong phạm vi các phiên bản bị ảnh hưởng.

Sau sự việc này, tôi đã tìm đọc rất nhiều bài viết.

Haiz, các hãng bảo mật trong nước cũng cứ anh sao chép tôi, tôi sao chép anh.

Bài viết này 

https://cloud.tencent.com/developer/article/2315008 

Đạo văn  

https://www.h3c.com/cn/d_202304/1830808_30003_0.htm

bài viết này

https://www.h3c.com/cn/d_202304/1830808_30003_0.htm 

Lại đạo văn

 https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q

Kết quả là nó còn chép nhầm phiên bản nữa, thật bực hết chỗ nói!

Dưới đây tôi sẽ công bố các liên kết bài viết đã tìm được, toàn là một đám hại người, tôi phải lôi chúng ra chỉ trích cho thật đã

https://stack.chaitin.com/techblog/detail/62

https://mp.weixin.qq.com/s/JgskenAZ6Cpecoe2k2AEjQ

https://blog.nsfocus.net/miniocve-2023-28432/

https://www.freebuf.com/vuls/363647.html

https://cloud.tencent.com/developer/article/2315008

https://www.h3c.com/cn/d_202304/1830808_30003_0.htm

https://zone.huoxian.cn/d/2708-cve-2023-28432-minio/17

https://www.cve.org/CVERecord?id=CVE-2023-28432