MinIO信息泄露漏洞 (CVE-2023-28432) 安全通告

漏洞名称

MinIO 信息泄露漏洞

公开时间

2023-03-23

更新时间

2023-03-23

CVE编号

CVE-2023-28432

其他编号

QVD-2023-7117

威胁类型

信息泄露

技术类型

信息暴露

厂商

MinIO

产品

MinIO

风险等级

奇安信CERT风险评级

风险等级

高危

蓝色（一般事件）

现时威胁状态

POC状态

EXP状态

在野利用状态

技术细节状态

未发现

未发现

未发现

未发现

漏洞描述

MinIO 存在信息泄露漏洞，在集群部署的MinIO中，未经身份认证的远程攻击者通过发送特殊HTTP请求即可获取所有环境变量，其中包括MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD，造成敏感信息泄露，最终可能导致攻击者以管理员身份登录MinIO。

影响版本

RELEASE.2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z

其他受影响组件

无

漏洞名称

MinIO 信息泄露漏洞

CVE编号

CVE-2023-28432

其他编号

QVD-2023-7117

CVSS 3.1评级

高危

CVSS 3.1分数

8.6

CVSS向量

访问途径（AV）

攻击复杂度（AC）

网络

低

用户认证（Au）

用户交互（UI）

无

不需要

影响范围（S）

机密性影响（C）

不改变

高

完整性影响（I）

可用性影响（A）

低

低

危害描述

利用该漏洞可以获取所有环境变量，其中包括MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD，造成敏感信息泄露，最终可能导致攻击者以管理员身份登录MinIO。