【阿一网络安全】MinI O SSRF （ CVE-2021-21287）

0x01 描述

描述: MinIO 是在 Apache License v2.0 下发布的⾼性能对象存   储 。在版本 RELEASE.2021-01-30T00-20-58Z 之前的 MinIO   中存在服务器端请求伪造漏洞 。 ⽬标应⽤程序可能具有从 URL 导 ⼊数据 、将数据发布到 URL 或以其他⽅式从可篡改的 URL 读取  数据的功能 。攻击者通过提供完全不同的 URL 或通过操纵 URL   的构建⽅式（路径遍历等） 来修改对此功能的调⽤ 。在服务器端   请求伪造 (SSRF) 攻击中， 攻击者可以滥⽤服务器上的功能来读   取或更新内部资源。

0x02 影响范围

MinIO < RELEASE.2021-01-30T00-20-58Z

0x03 漏洞分析

MinIO 组件中 LoginSTS 接⼝其实是 AWS STS 登录接⼝的⼀个 代理， ⽤于将发送到 JsonRPC 的请求转变成 STS 的⽅式转发给 本地的 9000 端⼝ 。

由于逻辑设计不当， MinIO 会将⽤户发送的 HTTP 头 Host 中获

取到地址作为 URL 的 Host 来构造新的 URL， 但由于请求头是 ⽤户可控的， 所以可以构造任意的 Host， 最终导致存在 SSRF  漏洞

0x04 漏洞复现

靶机：vulfocus/minio-cve_2021_21287:latest 攻击机： kali

访问http://192.168.234.138:59003/minio/login

验证 SSRF

burp 抓取登录数据包

payload:

nc 监听结果