There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Minio is a Multi-Cloud Object Storage framework. Prior to RELEASE.2023-03-20T20-16-18Z, an attacker can
    use crafted requests to bypass metadata bucket name checking and put an object into any bucket while
    processing `PostPolicyBucket`. To carry out this attack, the attacker requires credentials with
    `arn:aws:s3:::*` permission, as well as enabled Console API access. This issue has been patched in
    RELEASE.2023-03-20T20-16-18Z. As a workaround, enable browser API access and turn off `MINIO_BROWSER=off`.
    (CVE-2023-28434)

远程主机上安装的 MinIO 版本低于 RELEASE.2023-03-20T20-16-18Z。因此，该应用程序受到多个漏洞影响：

  - 当在群集中/分布式模式中部署时，MinIO 会返回所有环境变量，包括“MINIO_SECRET_KEY”和“MINIO_ROOT_PASSWORD”，从而导致信息泄露。(CVE-2023-28432)

  - 攻击者可以使用特制请求来绕过元数据存储桶名称检查，并在处理 PostPolicyBucket 时将对象放入任意存储桶中。要发动此攻击，攻击者需拥有 arn 凭据：aws: s3: : : * 权限以及已启用的控制台 API 访问。(CVE-2023-28434)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 MinIO 版本比 RELEASE.2023-03-20T20-16-18Z 舊。因此，會受到多個弱點影響：

  - 在叢集/分散式模式下進行部署時，MinIO 會傳回所有環境變數，包括「MINIO_SECRET_KEY」和「MINIO_ROOT_PASSWORD」，進而導致資訊洩漏。(CVE-2023-28432)

  - 攻擊者可利用特製的要求繞過詮釋資料值區名稱檢查，並在處理 PostPolicyBucket 時將物件放入任何值區。若要發動此攻擊，攻擊者需要具有 arn: aws：s3: : : * 權限的認證，以及已啟用的主控台 API 存取權。(CVE-2023-28434)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストにインストールされている MinIO のバージョンは、RELEASE.2023-03-20T20-16-18Z より前です。したがって、以下の複数の脆弱性の影響を受けます。

  - MinIO はクラスターにデプロイされたり、分散モードでデプロイされたりすると、「MINIO_SECRET_KEY」および「MINIO_ROOT_PASSWORD」を含むすべての環境変数を返すため、情報漏洩が発生します。(CVE-2023-28432)

  - 攻撃者が細工されたリクエストを使用して、メタデータバケット名のチェックをバイパスし、PostPolicyBucket の処理中にオブジェクトをバケットに入れる可能性があります。この攻撃を実行するために、攻撃者には arn: aws: s3: : : * 権限を備えた認証情報に加えて、有効にされたコンソール API アクセスが必要です。(CVE-2023-28434)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of MinIO installed on the remote host is prior to RELEASE.2023-03-20T20-16-18Z. It is, therefore, affected by multiple vulnerabilities:

  - When deployed in a cluster/in distributed mode  MinIO returns all environment variables, including   'MINIO_SECRET_KEY' and 'MINIO_ROOT_PASSWORD', resulting in information disclosure. (CVE-2023-28432)

  - An attacker can use crafted requests to bypass metadata bucket name checking and put an object into any   bucket while processing PostPolicyBucket. To carry out this attack, the attacker requires credentials with   arn:aws:s3:::* permission, as well as enabled Console API access. (CVE-2023-28434)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
409026	SCA: security update for github.com/minio/minio (GHSA-2pxw-r47w-4p8c)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	high
409026	SCA: security update for github.com/minio/minio (GHSA-2pxw-r47w-4p8c)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	high
181873	MinIO < RELEASE.2023-03-20T20-16-18Z 多个漏洞	Nessus	Misc.	2023/9/26	2024/1/13	high
181873	MinIO < RELEASE.2023-03-20T20-16-18Z 多個弱點	Nessus	Misc.	2023/9/26	2024/1/13	high
181873	MinIO < RELEASE.2023-03-20T20-16-18Z の複数の脆弱性	Nessus	Misc.	2023/9/26	2024/1/13	high
181873	MinIO < RELEASE.2023-03-20T20-16-18Z Multiple Vulnerabilities	Nessus	Misc.	2023/9/26	2024/1/13	high

检测

插件搜索

high

high

high

high

high

high