漏洞信息详情

MinIO 路径遍历漏洞

• CNNVD编号：CNNVD-202208-1987
• 危害等级： 低危
  
• CVE编号： CVE-2022-35919
• 漏洞类型： 路径遍历
• 发布时间： 2022-08-01
• 威胁类型： 远程
• 更新时间： 2022-09-20
• 厂        商：
• 漏洞来源：

漏洞简介

MinIO是美国MinIO公司的一款开源的对象存储服务器。该产品支持构建用于机器学习、分析和应用程序数据工作负载的基础架构。

MinIO RELEASE.2022-07-29T19-40-48Z之前版本，存在路径遍历漏洞，该漏洞源于所有admin：ServerUpdate授权的admin用户可以有选择地触发一个错误，作为响应返回请求的路径内容。任何正常的操作系统都会允许访问MinIO进程可以读取的任意路径上的内容。建议用户进行升级，无法升级的用户可以通过IAM策略拒绝管理员用户的admin：ServerUpdate操作来禁用ServerUpdate API。

漏洞公告

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/minio/minio/security/advisories/GHSA-gr9v-6pcm-rqvg

参考网址

来源:CONFIRM

链接:https://github.com/minio/minio/security/advisories/GHSA-gr9v-6pcm-rqvg

来源:MISC

链接:https://github.com/minio/minio/commit/bc72e4226e669d98c8e0f3eccc9297be9251c692

来源:MISC

链接:https://github.com/minio/minio/pull/15429

来源:cxsecurity.com

链接:https://cxsecurity.com/cveshow/CVE-2022-35919/

来源:vigilance.fr

链接:https://vigilance.fr/vulnerability/MinIO-file-reading-via-admin-ServerUpdate-39306

受影响实体

暂无

补丁

• MinIO 路径遍历漏洞的修复措施