- ひとことでMinIO のクラスター構成で、秘密の鍵やパスワードが漏れる弱点です。
- 深刻度7.5 重要CVSS v3.1
- まずやることクラスター構成の MinIO の版を確かめる
基本情報（データから表示）
| CVE番号 | CVE-2023-28432 |
|---|---|
| 製品 | MinIO MinIO |
| 深刻度（CVSS） | 7.5 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| KEVへの追加日 | 2023-04-21 |
| 米国政府機関の対応期限 | 2023-05-12 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-200（権限のない人への機密情報の露出） |
何が起きた
データ保管ソフト MinIO を複数台で動かす構成（クラスター）で、すべての環境変数を返してしまう弱点が見つかりました。その中には、MINIO_SECRET_KEY や MINIO_ROOT_PASSWORD といった秘密の鍵やパスワードも含まれます。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用できます。この弱点は実際に悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
NVD の説明によると、RELEASE.2019-12-17T23-16-33Z 以降、RELEASE.2023-03-20T20-16-18Z より前の MinIO を、分散（クラスター）構成で使っているすべての利用者が影響を受けます。MinIO によると、回避策は知られていません。
何をすればいい
MinIO は、RELEASE.2023-03-20T20-16-18Z 以降へすぐに更新するよう案内しています。回避策はないため、更新が唯一の対策です。詳しくは MinIO の公式の案内を確認してください。
やることチェックリスト
- クラスター構成の MinIO の版を確かめる
- RELEASE.2023-03-20T20-16-18Z 以降に更新する
- 回避策がないため更新を急ぐ
用語メモ
- MinIO
- ファイルなどのデータを保管するためのサーバーソフトです。
- クラスター
- 複数台のコンピューターをまとめて、1つのシステムとして動かす構成です。
- 環境変数 用語集で見る
- プログラムに設定を渡すための値です。パスワードなどの大事な情報を入れることもあります。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
MinIO Information Disclosure Vulnerability
概要
MinIO contains a vulnerability in a cluster deployment where MinIO returns all environment variables, which allows for information disclosure.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る