KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2023-28432 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
MinIO是根据 GNU Affero 通用公共许可证 v3.0 发布的高性能对象存储。它与Amazon S3云存储服务API 兼容。它可以处理非结构化数据，例如照片、视频、日志文件、备份和容器镜像。
CVE-2023-28432 中，未经身份验证的攻击者向在集群部署中的MinIO发送特殊的HTTP请求即可获取到包括MINIO_SECRET_KEY以及MINIO_ROOT_PASSWORD在内的所有环境变量信息，从而造成信息泄露并且能够以管理员身份登录MinIO。同时配合 CVE-2023-28434 等提权漏洞，攻击者可能造成远程代码执行，控制 Minio所在服务器。
影响范围
应用：minio minio（影响面 Up to (excluding) 2023-03-20t20-16-18z）
解决方案
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考信息
https://github.com/minio/minio/releases/tag/RELEASE.2023-03-20T20-16-18Z
https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q
https://twitter.com/Andrew___Morris/status/1639325397241278464
https://viz.greynoise.io/tag/minio-information-disclosure-attempt
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-28432
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。