CVE-2023-28432highbajo ataqueCWE-200

CVE-2023-28432: fallo de gravedad alta en minio

Minio Information Disclosure in Cluster Deployment

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear minio

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 7.5epss 84%
de la publicación al arma1 día
Publicada en NVD22 mar
1ª PoC+1d
metasploit20 mar
CISA KEV+30d
Acción exigida por CISAplazo federal: 2023-05-12

Apply updates per vendor instructions.

En resumen

MinIO en modo cluster estaba filtrando variables de entorno sensibles, incluyendo claves secretas y contraseñas root. Esto permite que los atacantes obtengan acceso completo al sistema de almacenamiento.

Detalle técnico

Vulnerabilidad de divulgación de información en implementaciones en cluster de MinIO (RELEASE.2019-12-17T23-16-33Z hasta RELEASE.2023-03-20T20-16-18Z), donde variables de entorno que contienen credenciales (MINIO_SECRET_KEY, MINIO_ROOT_PASSWORD) se exponen sin controles de acceso adecuados. La explotación requiere acceso de red a los puntos finales de MinIO.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Minio is a Multi-Cloud Object Storage framework. In a cluster deployment starting with RELEASE.2019-12-17T23-16-33Z and prior to RELEASE.2023-03-20T20-16-18Z, MinIO returns all environment variables, including `MINIO_SECRET_KEY` and `MINIO_ROOT_PASSWORD`, resulting in information disclosure. All users of distributed deployment are impacted. All users are advised to upgrade to RELEASE.2023-03-20T20-16-18Z.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
minio · minio
PoCs públicas encontradas — 35
githubgithub.com/MzzdToT/CVE-2023-28432★ 37githubgithub.com/Mr-xn/CVE-2023-28432★ 34githubgithub.com/acheiii/CVE-2023-28432★ 15githubgithub.com/Chocapikk/CVE-2023-28432★ 11githubgithub.com/Cuerz/CVE-2023-28432★ 10githubgithub.com/gobysec/CVE-2023-28432★ 10githubgithub.com/Okaytc/minio_unauth_check★ 7githubgithub.com/yTxZx/CVE-2023-28432★ 3githubgithub.com/BitWiz4rd/CVE-2023-28432★ 2githubgithub.com/steponeerror/Cve-2023-28432-★ 2githubgithub.com/unam4/CVE-2023-28432-minio_update_rce★ 1githubgithub.com/TaroballzChen/CVE-2023-28432-metasploit-scanner★ 1githubgithub.com/C1ph3rX13/CVE-2023-28432★ 1githubgithub.com/LHXHL/Minio-CVE-2023-28432★ 1githubgithub.com/h0ng10/CVE-2023-28432_docker★ 0githubgithub.com/CHINA-china/MinIO_CVE-2023-28432_EXP★ 0githubgithub.com/NET-Flowers/CVE-2023-28432★ 0vulncheckvulncheck.com/xdb/362042b30e53no verificadovulncheckvulncheck.com/xdb/01d4efe0d336no verificadovulncheckvulncheck.com/xdb/6aacf8dccab7no verificadovulncheckvulncheck.com/xdb/fbd103314ef8no verificadovulncheckvulncheck.com/xdb/f8d3bffd0b5fno verificadovulncheckvulncheck.com/xdb/b5a191fe1548no verificadovulncheckvulncheck.com/xdb/ce019ea1d113no verificadovulncheckvulncheck.com/xdb/3fa0cfa7912ano verificadovulncheckvulncheck.com/xdb/2f2181c8c371no verificadovulncheckvulncheck.com/xdb/c098a3a1e4d1no verificadovulncheckvulncheck.com/xdb/135cba389f2dno verificadovulncheckvulncheck.com/xdb/265e34c2d00bno verificadovulncheckvulncheck.com/xdb/b03d61e273cdno verificadovulncheckvulncheck.com/xdb/2bce5ce3653dno verificadovulncheckvulncheck.com/xdb/8a90a12dbb9dno verificadovulncheckvulncheck.com/xdb/88c33874c8a8no verificadovulncheckvulncheck.com/xdb/b297acbd5c68no verificadovulncheckvulncheck.com/xdb/ddf25a501579no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — minio

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-28434HIGHMinIO is vulnerable to privilege escalation on Linux/MacOSEPSS 7.9%KEVCVE-2022-35919HIGHAuthenticated requests for server update admin API allows path traversal in minioEPSS 52.1%CVE-2021-43858HIGHUser privilege escalation in MinIOEPSS 35.5%CVE-2024-24747HIGHMinIO unsafe default: Access keys inherit `admin` of root user, allowing privilege escalationEPSS 34.1%CVE-2021-21287HIGHServer-Side Request Forgery in MinIO Browser APIEPSS 23.9%CVE-2026-42600MEDIUMMinIO: Path Traversal via msgpack Body in `ReadMultiple` Storage-REST EndpointEPSS 8.7%