MinIO 权限提升漏洞 (CVE-2024-24747)

漏洞类型 权限管理不当 发现时间 2024-02-01 漏洞等级 高危
MPS编号 MPS-80no-taj1 CVE编号 CVE-2024-24747 漏洞影响广度 广

漏洞危害

OSCS 描述
MinIO是一个高性能对象存储服务。
Minio中创建访问密钥时权限继承存在问题。创建新的访问密钥会继承其父密钥对s3:*和admin:*的操作权限,如果在访问密钥的权限中未明确拒绝admin权限,访问密钥则能够修改自身权限。攻击者可以利用该漏洞提升权限,访问所有部署区域。
参考链接:https://www.oscs1024.com/hd/MPS-80no-taj1

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
github.com/minio/minio (-∞, RELEASE.2024-01-31T20-20-33Z) 升级 将 github.com/minio/minio 升级至 RELEASE.2024-01-31T20-20-33Z 及以上版本
缓解措施 拒绝admin:UpdateServiceAccount服务帐户的权限规则
参考链接:https://www.oscs1024.com/hd/MPS-80no-taj1

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-80no-taj1

https://nvd.nist.gov/vuln/detail/CVE-2024-24747

https://github.com/minio/minio/commit/0ae4915a9391ef4b3ec80f5fcdcf24ee6884e776

https://github.com/minio/minio/security/advisories/GHSA-xx8w-mq23-29g4

(0)
上一篇 2024年2月1日 下午4:00
下一篇 2024年2月7日 下午12:00

相关推荐

  • Terraform<1.5.7 任意文件写入漏洞 (CVE-2023-4782)

    漏洞类型 路径遍历 发现时间 2023-09-15 漏洞等级 高危 MPS编号 MPS-krc8-d4u9 CVE编号 CVE-2023-4782 漏洞影响广度 广 漏洞危害 OSCS 描述 Terraform 是一个开源的基础设施即代码(IAC)工具,允许用户使用声明性语言定义和配置基础设施资源,如虚拟机、存储、网络等。多数国内外云厂商的基础设施自动化都在…

    2023年9月15日
    0
  • Spring Cloud Contract 信息泄漏漏洞 (CVE-2024-22236)

    漏洞类型 未授权敏感信息泄露 发现时间 2024-01-31 漏洞等级 低危 MPS编号 MPS-nlih-a72m CVE编号 CVE-2024-22236 漏洞影响广度 广 漏洞危害 OSCS 描述 Spring Cloud Contract 是提供一种声明式的方式来创建HTTP和消息驱动的微服务应用之间的契约。 由于 Spring Cloud Cont…

    2024年1月31日
    0
  • Apache Allura 信息泄漏导致会话劫持 (CVE-2023-46851)

    漏洞类型 文件名或路径的外部可控制 发现时间 2023-11-07 漏洞等级 高危 MPS编号 MPS-yx6s-dke7 CVE编号 CVE-2023-46851 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache Allura是美国阿帕奇(Apache)软件基金会的一套开源项目托管平台。该平台支持管理源代码存储库、错误报告、维基页面和博客等。 由…

    2023年11月8日
    0
  • Moodle <4.3.0-rc2 代码注入 (CVE-2023-5539)

    漏洞类型 代码注入 发现时间 2023-11-10 漏洞等级 中危 MPS编号 MPS-onli-9jb0 CVE编号 CVE-2023-5539 漏洞影响广度 极小 漏洞危害 OSCS 描述 Moodle 是一个学习平台,旨在提供教育工作者、管理人员和学习者可以通过一个强大、安全和集成系统创建个性化学习环境。 在课程活动中发现了远程代码执行风险。默认情况下…

    2023年11月10日
    0
  • angular-editor 存储型XSS

    漏洞类型 XSS 发现时间 2023/7/5 漏洞等级 中危 MPS编号 MPS-vg0h-iq7r CVE编号 – 漏洞影响广度 小 漏洞危害 OSCS 描述 angular-editor 是一款适用于 Angular 6-14+ 的简单原生 WYSIWYG/Rich Text 编辑器。在受影响版本中,攻击者通过点击「Insert URL Li…

    2023年8月30日
    0