CVE-2021-21390
Açıklama
MinIO, açık kaynaklı yüksek performanslı bir nesne depolama servisidir ve Amazon S3 bulut depolama servisi ile API uyumludur. RELEASE.2021-03-17T02-33-02Z versiyonundan önceki MinIO sürümlerinde, parçalı imzalarla bütünlüğü garanti edilen istek gövdelerinin MITM yoluyla değiştirilmesine olanak tanıyan bir zafiyet bulunmaktadır. aws-chunked kodlama kullanan bir PUT isteğinde MinIO normalde imzaları bir parçanın sonunda doğrular. Eğer istemci, gönderilen gerçek veriden çok daha büyük yanlış bir parça boyutu gönderirse bu kontrol atlanabilir: sunucu, parçanın sonuna hiç ulaşmadan isteği kabul eder ve tamamlar; böylece parça imzasını hiçbir zaman kontrol etmez. Bu durum RELEASE.2021-03-17T02-33-02Z versiyonunda düzeltilmiştir. Geçici bir çözüm olarak, "aws-chunked" kodlama tabanlı parça imzalı yükleme isteklerini kullanmaktan kaçınılabilir ve bunun yerine TLS kullanılabilir. Sunucu uç noktası TLS ile yapılandırıldığında MinIO SDK'ları parçalı kodlama imzasını otomatik olarak devre dışı bırakır.
Nasıl düzeltilir
- minio minio2021-03-17t02-33-02z ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| minio minio | v < 2021-03-17t02-33-02z | 2021-03-17t02-33-02z |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.