安全公告

概要: 在 MinIO 服务器上发现了一个服务器端请求伪造 (SSRF) 漏洞，并在 RELEASE.2021-01-30T00-20-58Z 版本中修复。

严重程度： 中等

受影响对象： 所有使用 MinIO 服务器 RELEASE.2019-12-17T23-16-33Z 或更高版本的用户都会受到影响。已禁用 MinIO 浏览器 UI 的用户不受影响。

建议用户采取的措施： 建议所有用户将他们的 MinIO 部署升级到最新版本。此问题已在 RELEASE.2021-01-30T00-20-58Z 版本中修复。 升级

描述： 未经身份验证的 STS 客户端会导致 MinIO 服务器向任意域名发送 HTTP 请求。这可能会向客户端泄露内部基础设施，并可能被滥用作为进一步攻击其他组件的切入点。

感谢我们社区的 @phith0n 发现了此问题并将其报告给我们的安全团队。已提交了一个补丁，该补丁更改了 STS 实现，使其不再发送 HTTP 请求，而是使用本地可用的信息。有关更多信息，请查看我们的 Github 安全公告。该补丁已得到审查和接受，并已发布新版本。

成功的利用可以用来泄露和访问 MinIO 服务器可访问的（内部）系统。在撰写本文时，尚未在野外观察到此漏洞的利用。