CVE-2023-28432

Exposition de secrets dans MinIO

Une faille de sécurité, identifiée comme CVE-2023-28432, a été découverte dans le système de stockage objet multi-cloud MinIO. Cette vulnérabilité affecte les versions déployées entre le 17 décembre 2019 et le 20 mars 2023.

Points clés :

• La faille permet la divulgation d’informations sensibles.
• Elle concerne spécifiquement les déploiements en cluster de MinIO.

Vulnérabilités :

• CVE-2023-28432 : Permet à des acteurs non authentifiés d’accéder à des variables d’environnement via un point d’API non sécurisé. Cela inclut des identifiants critiques comme MINIO_SECRET_KEY et MINIO_ROOT_PASSWORD. Le code vulnérable se trouve dans la fonction VerifyHandler du fichier bootstrap-peer-server.go.

Recommandations :

• Mettre à jour MinIO vers la version RELEASE.2023-03-20T20-16-18Z ou une version ultérieure.

Source