CVE-2023-28434
MinIO Security Feature Bypass Vulnerability
Beschreibung
CVE-2023-28434 ist eine Schwachstelle vom Typ unsachgemäße Berechtigungsverwaltung (Improper Privilege Management) im Multi-Cloud Object Storage Framework MinIO. Vor der Version RELEASE.2023-03-20T20-16-18Z kann ein Angreifer die Prüfung von Metadaten-Bucket-Namen umgehen und über manipulierte Anfragen an die PostPolicyBucket-Funktion Objekte in beliebige Buckets schreiben. Für die Ausnutzung von CVE-2023-28434 benötigt der Angreifer Zugangsdaten mit der Berechtigung arn:aws:s3:::* sowie aktivierten Console-API-Zugang. Die CISA hat diese Schwachstelle in den KEV-Katalog aufgenommen und bestätigt damit die aktive Ausnutzung. Mit einem CVSS-Score von 8.8 (HIGH) und einem EPSS-Score von 39 % (97,2. Perzentil) stellt diese Sicherheitslücke ein erhebliches Risiko für MinIO-Installationen dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| minio | minio | < 2023-03-20t20-16-18z |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://github.com/minio/minio/commit/67f4ba154a27a1b06e48bfabda38355a010dfca5(Patch)
- https://github.com/minio/minio/pull/16849(Exploit, Issue Tracking)
- https://github.com/minio/minio/security/advisories/GHSA-2pxw-r47w-4p8c(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-28434(US Government Resource)
Schwachstellentyp
CWE-269: Improper Privilege Management
Bei CVE-2023-28434 ermöglicht eine unsachgemäße Berechtigungsverwaltung in MinIO, dass ein authentifizierter Benutzer die vorgesehenen Zugriffsbeschränkungen auf Bucket-Ebene umgehen kann. Obwohl der Angreifer über gültige Zugangsdaten verfügen muss, kann er durch manipulierte Anfragen an die PostPolicyBucket-Funktion auf Buckets zugreifen, für die keine explizite Berechtigung besteht.
Mehr erfahren: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2023-28434 ist über das Netzwerk ohne physischen Zugang ausnutzbar, die Angriffskomplexität ist gering und es ist keine Benutzerinteraktion erforderlich. Der Angreifer benötigt lediglich geringe Berechtigungen in Form von gültigen MinIO-Zugangsdaten mit arn:aws:s3:::*-Berechtigung sowie aktiviertem Console-API-Zugang. Vertraulichkeit (Hoch): Durch das unbefugte Schreiben in beliebige Buckets kann der Angreifer auf vertrauliche Daten zugreifen oder vorhandene Daten überschreiben, was zur Offenlegung sensibler Informationen führen kann. Integrität (Hoch): Die Möglichkeit, Objekte in beliebige Buckets zu schreiben, gefährdet die Datenintegrität der gesamten MinIO-Installation und kann zur Einschleusung schädlicher Inhalte genutzt werden. Verfügbarkeit (Hoch): Durch das Überschreiben kritischer Daten oder das Füllen von Buckets kann die Verfügbarkeit des Storage-Dienstes beeinträchtigt werden. Mit einem CVSS-Score von 8.8 (HIGH) und einem EPSS-Score von 39 %, der auf eine sehr hohe Ausnutzungswahrscheinlichkeit hindeutet, ist sofortiges Handeln erforderlich.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2023-28434 über den MinIO GitHub Pull Request #16849, der als Exploit und Issue Tracking gekennzeichnet ist. Die CISA hat die Schwachstelle in ihren KEV-Katalog aufgenommen und bestätigt damit die aktive Ausnutzung in freier Wildbahn, mit einer Behebungsfrist bis zum 10. Oktober 2023. Der EPSS-Score von 39 % (97,2. Perzentil) ist außergewöhnlich hoch und platziert CVE-2023-28434 unter den am häufigsten ausgenutzten Schwachstellen. Ein Zusammenhang mit Ransomware ist derzeit nicht bekannt, jedoch unterstreicht die Kombination aus öffentlichem Exploit-Code, bestätigter aktiver Ausnutzung und hohem EPSS-Score die Dringlichkeit einer sofortigen Behebung.
Behebung
- Sofortige Aktualisierung gemäß CISA-Anweisung: Sicherheitsupdates des Herstellers umgehend anwenden oder das Produkt außer Betrieb nehmen. Die CISA-Frist war der 10. Oktober 2023.
- MinIO auf die gepatchte Version aktualisieren: MinIO auf Version RELEASE.2023-03-20T20-16-18Z oder höher aktualisieren. Der entsprechende Fix ist im Commit 67f4ba1 dokumentiert und über das GitHub Security Advisory GHSA-2pxw-r47w-4p8c beschrieben.
- Zwischenzeitliche Absicherung: Als Workaround den Browser-API-Zugang aktivieren und die Umgebungsvariable MINIO_BROWSER=off setzen, um den Console-API-Zugang zu deaktivieren. Zusätzlich die Zugangsdaten mit arn:aws:s3:::*-Berechtigung auf das absolute Minimum beschränken.
- Zugriffsprotokollierung und Monitoring verstärken: MinIO-Audit-Logs auf ungewöhnliche PostPolicyBucket-Anfragen überprüfen, insbesondere auf Schreibvorgänge in nicht autorisierte Buckets. Netzwerk-Monitoring auf verdmächtige API-Aufrufe gegen den MinIO-Dienst einrichten.
- Berechtigungskonzept überarbeiten: Die Vergabe von Wildcard-Berechtigungen (arn:aws:s3:::*) minimieren und stattdessen granulare, Bucket-spezifische Berechtigungen verwenden. Netzwerkzugang zum MinIO-Dienst auf autorisierte Clients und Netzwerke beschränken.
Technische Details
CVE-2023-28434 ist eine Schwachstelle vom Typ CWE-269 (Improper Privilege Management) im MinIO Multi-Cloud Object Storage Framework. Die Schwachstelle befindet sich in der PostPolicyBucket-Funktion, die für die richtlinienbasierte Objekterstellung über HTTP POST verwendet wird. Ein Angreifer kann durch speziell manipulierte Anfragen die Metadaten-Prüfung des Bucket-Namens umgehen und so Objekte in beliebige Buckets schreiben, auf die er eigentlich keinen Zugriff haben sollte. Gemäß dem CVSS-Vektor (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) erfolgt der Angriff über das Netzwerk mit geringer Komplexität, erfordert jedoch eine Authentifizierung mit Zugangsdaten, die die Berechtigung arn:aws:s3:::* und aktivierten Console-API-Zugang besitzen. Der Scope bleibt unverändert (S:U), jedoch sind Vertraulichkeit, Integrität und Verfügbarkeit jeweils vollständig betroffen, da der Angreifer effektiv uneingeschränkten Schreibzugriff auf das gesamte Storage-System erhält.
Häufig gestellte Fragen
Wird CVE-2023-28434 aktiv ausgenutzt?
Ja, CVE-2023-28434 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und öffentlicher Exploit-Code ist über den MinIO GitHub Pull Request #16849 verfügbar. Der EPSS-Score von 39 % (97,2. Perzentil) bestätigt die hohe Ausnutzungswahrscheinlichkeit. Ein Zusammenhang mit Ransomware ist derzeit nicht bekannt.
Welche Produkte sind von CVE-2023-28434 betroffen?
Betroffen ist MinIO in allen Versionen vor RELEASE.2023-03-20T20-16-18Z. Die Schwachstelle erfordert Zugangsdaten mit arn:aws:s3:::*-Berechtigung sowie aktivierten Console-API-Zugang, um ausgenutzt werden zu können.
Wie behebe ich CVE-2023-28434?
Aktualisieren Sie MinIO auf Version RELEASE.2023-03-20T20-16-18Z oder höher. Als Workaround können Sie den Console-API-Zugang durch Setzen der Umgebungsvariable MINIO_BROWSER=off deaktivieren. Zusätzlich sollten Wildcard-Berechtigungen minimiert und granulare Bucket-Berechtigungen verwendet werden.
Wie schwerwiegend ist CVE-2023-28434?
CVE-2023-28434 hat einen CVSS-Score von 8.8 (HIGH) nach CVSS v3.1. Der außergewöhnlich hohe EPSS-Score von 39 % (97,2. Perzentil) platziert diese Schwachstelle unter den am häufigsten ausgenutzten Sicherheitslücken. In Kombination mit dem verfügbaren Exploit-Code und der bestätigten aktiven Ausnutzung ist sofortiges Patchen zwingend erforderlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.