最近の脆弱性 › CVE-2023-28432

MinIO MinIO の情報漏えいの脆弱性（CVE-2023-28432）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2023-28432
製品	MinIO MinIO
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
KEVへの追加日	2023-04-21
米国政府機関の対応期限	2023-05-12
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-200

何が起きた

データ保管ソフト MinIO を複数台で動かす構成（クラスター）で、すべての環境変数を返してしまう弱点が見つかりました。その中には、MINIO_SECRET_KEY や MINIO_ROOT_PASSWORD といった秘密の鍵やパスワードも含まれます。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用できます。この弱点は実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、RELEASE.2019-12-17T23-16-33Z 以降、RELEASE.2023-03-20T20-16-18Z より前の MinIO を、分散（クラスター）構成で使っているすべての利用者が影響を受けます。MinIO によると、回避策は知られていません。

何をすればいい

MinIO は、RELEASE.2023-03-20T20-16-18Z 以降へすぐに更新するよう案内しています。回避策はないため、更新が唯一の対策です。詳しくは MinIO の公式の案内を確認してください。

やることチェックリスト

クラスター構成の MinIO の版を確かめる
RELEASE.2023-03-20T20-16-18Z 以降に更新する
回避策がないため更新を急ぐ

用語メモ

MinIO: ファイルなどのデータを保管するためのサーバーソフトです。
クラスター: 複数台のコンピューターをまとめて、1つのシステムとして動かす構成です。
環境変数: プログラムに設定を渡すための値です。パスワードなどの大事な情報を入れることもあります。

元データ（英語・CISA KEV より）

MinIO Information Disclosure Vulnerability

概要

MinIO contains a vulnerability in a cluster deployment where MinIO returns all environment variables, which allows for information disclosure.

推奨対応

Apply updates per vendor instructions.