MinIO未授权SSRF漏洞（CVE-2021-21287）复现

最新推荐文章于 2024-08-18 18:34:49 发布
最新推荐文章于 2024-08-18 18:34:49 发布
阅读量1.3w 收藏 10
点赞数 4
分类专栏： 安全 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xuandao_ahfengren/article/details/114446277
版权
本文介绍了MinIO的未授权SSRF漏洞（CVE-2021-21287）的详细情况，包括受影响的版本、如何搭建复现环境以及具体漏洞复现步骤。此外，还提供了相应的修复建议，建议用户升级到安全版本以消除风险。
摘要由CSDN通过智能技术生成

简介

 

MinIO是一个基于Apache License v2.0开源协议的对象存储服务。它兼容亚马逊S3云存储服务接口，适用于存储大容量非结构化的数据（如图片、视频、日志文件、备份数据和容器/虚拟机镜像等），作为一款支持部署在私有云的开源对象存储系统，MinIO在全球被广泛使用。

 

影响版本

 

MinIO < RELEASE.2021-01-30T00-20-58Z

 

环境搭建

 

这里使用docker进行安装

 

docker-compose.yml

 

version: '3.7'

services:

  minio1:

    image: minio/minio:RELEASE.2021-01-16T02-19-44Z

    volumes:

      - data1-1:/data1

      - data1-2:/data2

    por
最低0.47元/天 解锁文章
玄道网安
关注
专栏目录
复现MinIO未授权SSRF漏洞(CVE-2021-21287)
记录并分享学习安全的知识点..
02-24 4776
前言： 最近做项目测试，整理资产偶然看到基于MinIO服务器开发的网站，便想起前端时间复现过一个ssrf关于它的，测试一下竟发现该网站存在这个漏洞，窃喜万分，现将复现过程记录一下！ 一、漏洞简介 MinIO是一个非常轻量的服务,可以很简单的和其他应用的结合，类似 NodeJS, Redis 或MySQL，是基于Apache License v2.0开源协议的对象存储服务。由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞。攻击者可以通过构造URL来发起服务器端请求伪造攻击成
【1day】复现CVE-2023-28432（MinIO信息泄露漏洞）
记录并分享学习安全的知识点..
04-13 1442
复现CVE-2023-28432（MinIO信息泄露漏洞）
MinIO未授权SSRF漏洞复现(CVE-2021-21287)
isxiaole的博客
09-27 9003
MinIO 是一款基于Go语言发开的高性能、分布式的对象存储系统。由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞。攻击者可以通过构造URL来发起服务器端请求伪造攻击成功利用此漏洞的攻击者能够通过利用服务器上的功能来读取、更新内部资源或执行任意命令。
MinIO 的介绍及安装
最新发布
qq_52098522的博客
08-18 1143
本文介绍了MinIO的作用以及如何在不同操作系统安装MinIO。
MinIO未授权SSRF漏洞(CVE-2021-21287)
thelostworld
02-05 1万+
MinIO未授权SSRF漏洞(CVE-2021-21287) 一、漏洞简介 ​ 由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞 攻击者可以通过构造URL来发起服务器端请求伪造攻击成功利用此漏洞的攻击者能够通过利用服务器上的功能来读取、更新内部资源或执行任意命令 该漏洞无需用户验证即可远程利用 二、影响版本 MinIO < RELEASE.2021-01-30T00-20-58Z 三、环境准备&漏洞复现 Docker 安装minio： d...
MiniO未授权SSRF漏洞（CVE-2021-21287）
xiaobai_20190815的博客
06-09 7029
Apache License MiniO未授权SSRF漏洞（CVE-2021-21287）
CVE-2021-21287：MiniO未授权SSRF漏洞
就是法老
08-24 6801
一：介绍 MinIO 是一个基于Apache License v2.0开源协议的对象存储服务。它兼容亚马逊S3云存储服务接口，非常适合于存储大容量非结构化的数据，例如图片、视频、日志文件、备份数据和容器/虚拟机镜像等，而一个对象文件可以是任意大小，从几kb到最大5T不等。 MinIO是一个非常轻量的服务,可以很简单的和其他应用的结合，类似 NodeJS, Redis 或者 MySQL。 二：漏洞详情 由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞 攻击者可以通
CVE-2023-28432 MinIO 信息泄露漏洞--漏洞复现10
nnn2188185的博客
04-08 7009
MinIO是美国MinIO公司的一款开源的对象存储服务器， 是一款高性能、分布式的对象存储系统. 它是一款软件产品, 可以100%的运行在标准硬件。即X86等低成本机器也能够很好的运行MinIO。MinIO中存在一处信息泄露漏洞，由于Minio集群进行信息交换的9000端口，在未经配置的情况下通过发送特殊HPPT请求进行未授权访问，进而导致MinIO对象存储的相关环境变量泄露，环境变量中包含密钥信息。泄露的信息中包含登录账号密码。 CVE-2023-28432 CNNVD-202303-1795
vulhub之MinIO信息泄露漏洞(CVE-2023-28432)
薛定谔嘚喵博客
08-30 1693
MinIO中存在一处信息泄露漏洞，由于Minio集群进行信息交换的9000端口，在未经配置的情况下通过发送特殊HPPT请求进行未授权访问，进而导致MinIO对象存储的相关环境变量泄露，环境变量中包含密钥信息（MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD），能看到对应权限的存储文件。
CVE-2023-28432 MiniO信息泄露漏洞复现
Love&Share
04-28 6411
MiniO 是一个基于 Apache License v2.0 开源协议的对象存储服务。它兼容亚马逊 S3 云存储服务接口，非常适合于存储大容量非结构化的数据，例如图片、视频、日志文件、备份数据和容器/虚拟机镜像等在集群部署的 Minio 中，未授权的攻击者可发送恶意的 HTTP 请求来获取 Minio 环境变量中的敏感信息（MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD），可能导致攻击者以管理员权限登录 Minio，分布式部署的所有用户都会受到影响，单机用户没有影响。
MinIO集群模式信息泄露漏洞（CVE-2023-28432）vulhub漏洞复现
qq_53003652的博客
07-10 2525
利用泄露的MINIO_ROOT_USER 和MINIO_ROOT_PASSWORD 值登录系统。可以查看Web管理页面，访问。启动burpsuite抓包。漏洞存在于API节点。
MinIO verify 接口敏感信息泄露漏洞分析(CVE-2023-28432)
qq_35476650的博客
03-24 6707
MinIO 是一种开源的对象存储服务，它兼容 Amazon S3 API，可以在私有云或公有云中使用。MinIO 是一种高性能、高可用性的分布式存储系统，它可以存储大量数据，并提供对数据的高速读写能力。MinIO 采用分布式架构，可以在多个节点上运行，从而实现数据的分布式存储和处理。MinIO verify接口存在敏感信息泄漏漏洞，攻击者通过构造特殊URL地址，读取系统敏感信息。
MinIO信息泄露漏洞(CVE-2023-28432)批量检测POC
热门推荐
今天是几号的博客
03-28 1万+
MinIO 是一种开源对象存储服务，与 Amazon S3 API 兼容，可用于私有云或公共云。MinIO是一种高性能、高可用的分布式存储系统，可以存储大量数据，并提供高速的数据读写能力。MinIO采用分布式架构，可以在多个节点上运行，实现数据的分布式存储和处理。在集群部署的Minio中，未授权的攻击者可发送恶意的HTTP请求来获取Minio环境变量中的敏感信息（MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD），可能导致攻击者以管理员权限登录Minio。
【阿一网络安全】MinI O SSRF （ CVE-2021-21287）
Ayixy的博客
07-10 421
攻击者可以滥⽤服务器上的功能来读。中存在服务器端请求伪造漏洞。攻击者通过提供完全不同的。的构建⽅式（路径遍历等）⽬标应⽤程序可能具有从。或以其他⽅式从可篡改的。下发布的⾼性能对象存。来修改对此功能的调⽤。
CVE-2023-25812 MinIO 存在权限控制不当漏洞（POC）
murphysec的博客
02-23 1945
MinIO 是根据 AGPL v3.0 发布的高性能对象存储框架。 MinIO 影响版本中由于未正确遵守 ByPassGoverance 的拒绝策略，当 S3 存储桶策略配置 Deny statement 为 s3:BypassGovernanceRetention 且 Allow statement 为 s3:* 时， 攻击者可发送包含 X-Amz-Bypass-Governance-Retention: true 标头的恶意请求绕过 MinIO 的治理模式(Governance mode)，进而删除
【漏洞复现】MinIO敏感信息泄露（CVE-2023-28432）
刘家华(游戏开发)
04-23 1288
MinIO发现了信息泄露漏洞
MinIO集群模式信息泄露漏洞（CVE-2023-28432）
EnerY3的博客
12-12 5054
Minio 是一个开源的对象存储服务，它是一个完全兼容 Amazon S3 的存储系统，可以用来构建可扩展的应用程序。Minio 的主要目标是为开发人员提供一个可靠、安全、可扩展的对象存储系统，以便他们可以专注于构建自己的应用程序，而不是存储基础设施。漏洞编号：CVE-2023-28432漏洞评分：高（Critical）影响版本：MinIO 2022.10.0至2023.4.20间的所有版本漏洞描述：MinIO集群模式中存在一个信息泄露漏洞。攻击者可以利用该漏洞获取存储在MinIO中的敏感数据。
minio/minio:RELEASE.2021-01-16T02-19-44Z
08-05
minio/minio:RELEASE.2021-01-16T02-19-44Z是一个镜像标签，用于指定MinIO对象存储服务的版本。 MinIO是一个基于Apache License v2.0开源协议的对象存储服务，兼容亚马逊S3云存储服务接口，适用于存储大容量非结构化...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值