最近の脆弱性 › CVE-2023-28434
MinIO MinIO の権限管理の不備の脆弱性（CVE-2023-28434）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2023-28434 |
|---|---|
| 製品 | MinIO MinIO |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2023-09-19 |
| 米国政府機関の対応期限 | 2023-10-10 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-269 |
何が起きた
データを保存するソフト MinIO で、PostPolicyBucket という処理をするときに、保存先（バケット）の名前の確認をすり抜けられる弱点が見つかりました。攻撃者は細工した要求を送り、どのバケットにもデータを置けるため、権限の引き上げにつながります。攻撃者はネットワーク経由で狙えますが、arn:aws:s3:::* の権限を持つ認証情報と、Console API が有効になっていることが必要です。CISA はこの弱点の悪用を確認しています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
RELEASE.2023-03-20T20-16-18Z より前の MinIO を使っている組織が対象です。
何をすればいい
MinIO を RELEASE.2023-03-20T20-16-18Z 以降に更新されているか確認してください。MinIO の公式の勧告では、回避策として MINIO_BROWSER=off でブラウザーの機能（Console API）を止めることが挙げられています。詳しくは MinIO の公式の案内を確認してください。
やることチェックリスト
- MinIO を RELEASE.2023-03-20T20-16-18Z 以降に更新する
- すぐ更新できなければ MINIO_BROWSER=off にする
- 使っている MinIO の版を確かめる
用語メモ
- バケット
- MinIO などの保存サービスで、データ（オブジェクト）を入れておく入れ物の単位です。
- 認証情報
- ログインやサービスの利用に使う ID と鍵（パスワードのようなもの）の組です。
- Console API
- MinIO をブラウザーの画面から操作するための窓口となる機能です。
元データ（英語・CISA KEV より）
MinIO Security Feature Bypass Vulnerability
概要
MinIO contains a security feature bypass vulnerability that allows an attacker to use crafted requests to bypass metadata bucket name checking and put an object into any bucket while processing `PostPolicyBucket` to conduct privilege escalation. To carry out this attack, the attacker requires credentials with `arn:aws:s3:::*` permission, as well as enabled Console API access.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.