安全公告

摘要: 发现了针对 MinIO 服务器 IAM 实现的未授权桶访问漏洞，并在 RELEASE.2019–06–15T23–07–18Z 版本中修复。

严重程度: 高

受影响对象: 所有使用 MinIO 服务器和网关 IAM 功能的用户都受到影响。强烈建议升级。

建议用户采取的操作: 建议所有用户将其 Minio 部署升级到最新版本。此问题已在 RELEASE.2019–06–15T23–07–18Z 版本中修复 (https://dl.minio.io/server/minio/release/linux-amd64/minio)。无需执行其他操作。

描述: IAM 用户被授予了超出 IAM 策略允许范围的更多桶的访问权限。

IAM 用户可以访问所有名称前缀与 IAM 策略中列出的桶相同的所有桶。允许的操作仍将由 IAM 策略决定。

这是由于基于前缀的 Matcher() 函数存在问题，该函数错误地根据资源前缀而不是精确匹配进行前缀匹配。

例如，具有以下 IAM 策略的用户

将能够列出 jack、jackson、jackie 等桶中的对象 (s3:ListBucket)。

此问题由社区用户 Aaron Dummer 报告，并已提交补丁修复此问题。补丁已审核并接受，并发布了新版本。

在撰写本文时，尚未在现实环境中观察到此漏洞。