CVE-2023-28432

Divulgation d’informations sensibles dans MinIO

Une faille de sécurité (CVE-2023-28432) a été identifiée dans MinIO, un système de stockage d’objets multi-cloud. Les versions comprises entre le 17 décembre 2019 et le 20 mars 2023 sont affectées.

La vulnérabilité permet la divulgation de toutes les variables d’environnement, y compris des identifiants critiques tels que la clé secrète MinIO (MINIO_SECRET_KEY) et le mot de passe racine (MINIO_ROOT_PASSWORD), via un point d’API accessible sans authentification. Cela peut permettre à des acteurs non autorisés d’obtenir un accès non légitime.

Le problème réside dans la fonction VerifyHandler du fichier bootstrap-peer-server.go.

Points Clés :

• Nature de la vulnérabilité : Divulgation d’informations.
• Produit affecté : MinIO (versions spécifiques).
• Impact : Exposition de secrets et de mots de passe.
• Mode d’exploitation : Point d’API non authentifié.

Vulnérabilité :

• CVE : CVE-2023-28432

Recommandations :

• Mettre à jour MinIO vers la version RELEASE.2023-03-20T20-16-18Z ou une version ultérieure.

Source