6月API安全漏洞报告

为了让大家的API更加安全，致力于守护数字世界每一次网络调用，小阑给大家整理了6月份的一些API安全漏洞报告，希望大家查漏补缺及时修复自己API可能出现的漏洞。

No.1 MinIO未授权信息泄露漏洞

漏洞详情：MinIO是一个开源的对象存储服务，它提供了云存储功能，可用于存储和管理大量数据。然而，MinIO在未正确配置和授权时可能存在信息泄露漏洞（CVE-2023-28432）。

漏洞危害：未授权信息泄露漏洞指的是MinIO实例没有正确的访问控制设置，使得未经授权的用户能够访问和下载存储在MinIO中的敏感数据。攻击者可以利用未授权访问权限获取存储在MinIO中的敏感数据，例如个人身份信息、企业机密文件等。如果MinIO实例遭到未授权访问并导致数据泄露，用户可能失去对该服务的信任，这可能对业务运营和声誉造成损害。

影响范围：在集群模式中，MinIO的某些接口会因为信息处理不当而返回会返回所有环境变量，包括MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD，导致敏感信息泄露。使用分布式部署的所有用户都会受到影响。

小阑修复建议

• 正确配置访问控制：在部署和配置MinIO实例时，确保正确设置访问权限和授权策略。使用最小权限原则，只给予用户必要的访问权限。

•