【阿一网络安全】MinI O SSRF （ CVE-2021-21287）

已于 2024-07-10 15:02:50 修改
阅读量778 收藏 5
点赞数 1
文章标签： web安全 安全 网络
于 2024-07-10 15:02:13 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Ayixy/article/details/140324220
版权

0x01 描述

描述: MinIO 是在 Apache License v2.0 下发布的⾼性能对象存   储 。在版本 RELEASE.2021-01-30T00-20-58Z 之前的 MinIO   中存在服务器端请求伪造漏洞 。 ⽬标应⽤程序可能具有从 URL 导 ⼊数据 、将数据发布到 URL 或以其他⽅式从可篡改的 URL 读取  数据的功能 。攻击者通过提供完全不同的 URL 或通过操

最低0.47元/天 解锁文章
复现MinIO未授权SSRF漏洞(CVE-2021-21287)
记录并分享学习安全的知识点..
02-24 5079
前言： 最近做项目测试，整理资产偶然看到基于MinIO服务器开发的网站，便想起前端时间复现过一个ssrf关于它的，测试一下竟发现该网站存在这个漏洞，窃喜万分，现将复现过程记录一下！ 一、漏洞简介 MinIO是一个非常轻量的服务,可以很简单的和其他应用的结合，类似 NodeJS, Redis 或MySQL，是基于Apache License v2.0开源协议的对象存储服务。由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞。攻击者可以通过构造URL来发起服务器端请求伪造攻击成
vulhub之MinIO信息泄露漏洞(CVE-2023-28432)
薛定谔嘚喵博客
08-30 2024
MinIO中存在一处信息泄露漏洞，由于Minio集群进行信息交换的9000端口，在未经配置的情况下通过发送特殊HPPT请求进行未授权访问，进而导致MinIO对象存储的相关环境变量泄露，环境变量中包含密钥信息（MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD），能看到对应权限的存储文件。
MinIO未授权SSRF漏洞（CVE-2021-21287）复现
热门推荐
玄道的网安博客
03-06 1万+
简介 MinIO是一个基于Apache License v2.0开源协议的对象存储服务。它兼容亚马逊S3云存储服务接口，适用于存储大容量非结构化的数据（如图片、视频、日志文件、备份数据和容器/虚拟机镜像等），作为一款支持部署在私有云的开源对象存储系统，MinIO在全球被广泛使用。 影响版本 MinIO < RELEASE.2021-01-30T00-20-58Z 环境搭建 这里使用docker进行安装 docker-compose.yml v...
Vulhub靶机 MinIO信息泄露漏洞（CVE-2023-28432）（渗透测试详解）
最新发布
2301_78721909的博客
02-13 839
Vulhub靶机 MinIO信息泄露漏洞（CVE-2023-28432）（渗透测试详解）
MinIO未授权SSRF漏洞复现(CVE-2021-21287)
isxiaole的博客
09-27 1万+
MinIO 是一款基于Go语言发开的高性能、分布式的对象存储系统。由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞。攻击者可以通过构造URL来发起服务器端请求伪造攻击成功利用此漏洞的攻击者能够通过利用服务器上的功能来读取、更新内部资源或执行任意命令。
CVE-2021-21287：MiniO未授权SSRF漏洞
就是法老
08-24 7090
一：介绍 MinIO 是一个基于Apache License v2.0开源协议的对象存储服务。它兼容亚马逊S3云存储服务接口，非常适合于存储大容量非结构化的数据，例如图片、视频、日志文件、备份数据和容器/虚拟机镜像等，而一个对象文件可以是任意大小，从几kb到最大5T不等。 MinIO是一个非常轻量的服务,可以很简单的和其他应用的结合，类似 NodeJS, Redis 或者 MySQL。 二：漏洞详情 由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞 攻击者可以通
MiniO未授权SSRF漏洞（CVE-2021-21287）
xiaobai_20190815的博客
06-09 7586
Apache License MiniO未授权SSRF漏洞（CVE-2021-21287）
MinIO未授权SSRF漏洞(CVE-2021-21287)
thelostworld
02-05 1万+
MinIO未授权SSRF漏洞(CVE-2021-21287) 一、漏洞简介 ​ 由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞 攻击者可以通过构造URL来发起服务器端请求伪造攻击成功利用此漏洞的攻击者能够通过利用服务器上的功能来读取、更新内部资源或执行任意命令 该漏洞无需用户验证即可远程利用 二、影响版本 MinIO < RELEASE.2021-01-30T00-20-58Z 三、环境准备&漏洞复现 Docker 安装minio： d...
MinIO 环境变量泄漏漏洞（CVE-2023-28432）
murphysec的博客
04-04 2697
MinIO 是一个开源的对象存储服务器。 MinIO RELEASE.2023-03-20T20-16-18Z之前版本中的 bootstrap-peer-server.go#VerifyHandler 方法存在敏感信息泄漏漏洞，攻击者可向集群部署中的 MinIO 服务器的 /minio/bootstrap/v1/verify API发送POST请求，从而获取到 MINIO_SECRET_KEY 和 MINIO_ROOT_PASSWORD 等所有环境变量信息，从而以管理员身份登录 MinIO 服务。
CVE-2023-25812 MinIO 存在权限控制不当漏洞（POC）
murphysec的博客
02-23 2179
MinIO 是根据 AGPL v3.0 发布的高性能对象存储框架。 MinIO 影响版本中由于未正确遵守 ByPassGoverance 的拒绝策略，当 S3 存储桶策略配置 Deny statement 为 s3:BypassGovernanceRetention 且 Allow statement 为 s3:* 时， 攻击者可发送包含 X-Amz-Bypass-Governance-Retention: true 标头的恶意请求绕过 MinIO 的治理模式(Governance mode)，进而删除
MinIO集群模式信息泄露漏洞（CVE-2023-28432）
程序员若风的博客
12-08 1688
MinIO是一个用Golang开发的基于Apache License v2.0开源协议的对象存储服务。虽然轻量，却拥有着不错的性能。它兼容亚马逊S3云存储服务接口，非常适合于存储大容量非结构化的数据。该漏洞会在前台泄露用户的账户和密码。
MinIO集群模式信息泄露漏洞（CVE-2023-28432）vulhub漏洞复现
qq_53003652的博客
07-10 2850
利用泄露的MINIO_ROOT_USER 和MINIO_ROOT_PASSWORD 值登录系统。可以查看Web管理页面，访问。启动burpsuite抓包。漏洞存在于API节点。
CVE-2023-28432 MinIO 信息泄露漏洞--漏洞复现10
qq_53058639的博客
02-03 1637
微信公众号搜索：南风漏洞复现文库南风网络安全公众号首发MinIO是美国MinIO公司的一款开源的对象存储服务器， 是一款高性能、分布式的对象存储系统. 它是一款软件产品,可以100%的运行在标准硬件。即X86等低成本机器也能够很好的运行MinIO。MinIO中存在一处信息泄露漏洞，由于Minio集群进行信息交换的9000端口，在未经配置的情况下通过发送特殊HPPT请求进行未授权访问，进而导致MinIO对象存储的相关环境变量泄露，环境变量中包含密钥信息。泄露的信息中包含登录账号密码。
CVE-2023-28432 MiniO信息泄露漏洞复现
Love&Share
04-28 8148
MiniO 是一个基于 Apache License v2.0 开源协议的对象存储服务。它兼容亚马逊 S3 云存储服务接口，非常适合于存储大容量非结构化的数据，例如图片、视频、日志文件、备份数据和容器/虚拟机镜像等在集群部署的 Minio 中，未授权的攻击者可发送恶意的 HTTP 请求来获取 Minio 环境变量中的敏感信息（MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD），可能导致攻击者以管理员权限登录 Minio，分布式部署的所有用户都会受到影响，单机用户没有影响。
CVE-2023-28432-MinIO集群模式信息泄露漏洞流量分析
12306小哥
07-12 911
MinIO是一个开源对象存储系统。在其版本（不含）以前，集群模式部署下存在一处信息泄露漏洞，攻击者可以通过发送一个POST数据包获取进程所有的环境变量，其中就包含账号密码和。
CVE-2023-28432：MinIO信息泄露漏洞利用工具安装与使用教程
gitblog_00836的博客
09-12 1160
CVE-2023-28432：MinIO信息泄露漏洞利用工具安装与使用教程 项目地址:https://gitcode.com/gh_mirrors/cv/CVE-2023-28432 项目概述 本教程将引导您了解并使用由Mr-xn维护的关于CVE-2023-28432的信息泄露漏洞利用工具。此项目针对的是MinIO对象存储服务中发现的一个严重安全漏洞，允许未认证的远程攻击者通过特定请求获取敏感环境...
MinIO权限提升漏洞CVE-2024-24747详细解决办法
yh
03-12 2114
MinIO权限提升漏洞CVE-2024-24747 解决办法
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值