CVE-2023-28432 MinIO資訊洩漏漏洞版本標記錯誤

无事小狗仙
2025-01-20 15:29
原創
824 次閱讀

MinIO

最近收到了安全部門發來的一則關於MinIO漏洞的警示

乍眼一看，這個漏洞很是要命，必須得及時修復啊。

於是乎，開始著手升級工作。

首先，確認我們用的MinIO版本是 2021-03-26T00:00:41Z

之所以選擇這個版本，因為這個版本的授權條款是 Apache License 2.0 ,MinIO最後一個可以免費商用且不需要公布原始碼的版本。

這個版本以後，MinIO 將授權協議改為 AGPL V3。

根據報告，該漏洞

確認受影響版本：RELEASE.2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z

修復版本：RELEASE.2023-03-20T20-16-18Z

我們目前使用的版本在受影響版本中。

由於我們使用的版本過於陳舊，不敢升級主要版本。

於是想著自己下載原始碼，自己根據報告揭露的原始碼部分，套用修補程式修復。

// minio/cmd/bootstrap-peer-server.go

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) { ctx := newContext(r, w, "VerifyHandler") cfg := getServerSystemCfg() logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg)) }

// minio/cmd/bootstrap-peer-server.go

func getServerSystemCfg() ServerSystemConfig { envs := env.List("MINIO_") envValues := make(map[字串]字串, len(envs)) for _, envK := range envs { // 作為一部分略過某些環境變數 // 屬於白名單，並且可以設定 // 各節點有所不同，更新 skipEnvs() // 若存在這樣的環境變數值，則進行對應 if _, ok := skipEnvs[envK]; ok { continue } envValues[envK] = env.Get(envK, "") } return ServerSystemConfig{ MinioEndpoints: globalEndpoints, MinioEnv: envValues, } }

可是當我下載了原始碼，切換到我們使用的版本分支上之後，我發現這個版本上並沒有報告上的程式碼

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) {
    ctx := newContext(r, w, "VerifyHandler")
    cfg := getServerSystemCfg()
    logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg))
    w.(http.Flusher).Flush()
}

func getServerSystemCfg() ServerSystemConfig {
    return ServerSystemConfig{
       MinioPlatform:  fmt.Sprintf("OS: %s | Arch: %s", runtime.GOOS, runtime.GOARCH),
       MinioEndpoints: globalEndpoints,
    }
}

哎呀，怎麼回事？怎麼回事？怎麼回事？

根據報告，有一個驗證工具可以用來驗證這個漏洞。https://github.com/MzzdToT/CVE-2023-28432

下載漏洞驗證程式碼，執行程式碼後的結果顯示我們使用的版本不受影響。