安全公告

概要: 发现 MinIO 服务器 Admin API 可能存在身份验证绕过漏洞，该漏洞已在 RELEASE.2018–01–18T20–33–21Z 版本中修复。

严重性: 严重

受影响者: 所有使用 AWS Signature V2 且未启用 TLS 或 使用 AWS Signature V2 预签名请求的用户都会受到影响。如果您使用 AWS Signature V4 进行预签名请求，则不会受到影响。如果您使用 AWS Signature V2 且启用 TLS 并且 不使用 V2 预签名请求，则不会受到影响。但是，仍然建议您升级。

建议用户采取的措施: 建议所有用户将 MinIO 部署升级到最新版本。此问题已在 RELEASE.2018–01–18T20–33–21Z 版本中修复 (下载)。如果您使用 AWS Signature V2，还建议您更改 MinIO 访问凭证。

描述: AWS Signature V2 请求可以被修改以触发 Admin API 调用。使用此类恶意请求，可以获取服务器配置（包括访问凭证）——通过 Admin API。

该问题是在内部安全审计中发现的，我们已提交补丁以修复该漏洞，该补丁仅接受用于 Admin API 调用的 AWS Signature V4 签名请求。该补丁已过审核并被接受，我们已发布了新版本。

成功利用该漏洞可以获取服务器凭证，从而窃取或破坏您的数据。此外，它不会导致服务器出现可疑行为。在撰写本文时，尚未在野外发现此漏洞。