安全咨询

简介：发现了针对MinIO服务器Admin API的身份验证绕过的可能性，并已在RELEASE.2018–01–18T20–33–21Z中修复。

严重程度：严重

受影响的对象：不使用TLS或AWS Signature V2预签名请求的所有AWS Signature V2用户均会受到影响。如果您将AWS Signature V4用于预签名请求，则不会受到影响。如果您将AWS Signature V2与TLS一起使用，并且没有V2预签名请求，则不会受到影响。但是，仍然建议升级。

对用户的建议操作：建议所有用户将其MinIO部署升级到最新版本。此问题已在版本RELEASE.2018–01–18T20–33–21Z（下载）中修复。如果您使用的是AWS Signature V2，则还建议更改您的Min IO访问凭证。

说明：可以修改AWS Signature V2请求以触发Admin API调用。通过此类恶意请求，可以通过Admin API获得服务器配置-包括访问凭据。

该问题是通过内部安全审核发现的，并且已提交补丁程序以通过仅接受针对Admin API调用的AWS Signature V4签名请求来修复此漏洞。该补丁已通过审核并被接受，并且已发布新版本。

成功的利用可用于获取服务器凭据，从而窃取或破坏您的数据。此外，它不会导致可疑的服务器行为。在撰写本文时，尚未在野外观察到此漏洞利用。