🇰🇷 한글 설명
Minio의 특정 버전에서 일반 사용자의 정책 제한을 우회할 수 있는 취약점이 발견되었습니다. 서비스(svc) 또는 보안 토큰 서비스(STS) 계정이 없는 사용자의 경우 정책 제한이 제대로 작동하지 않아 권한 상승이 가능합니다.
💡 쉬운 설명
클라우드 저장소 서비스인 Minio에서 일반 사용자가 허용되지 않은 권한을 가질 수 있는 보안 결함이 발견되었습니다. 이로 인해 원래 접근할 수 없는 데이터에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Minio is a Kubernetes native application for cloud storage. All users on release `RELEASE.2021-10-10T16-53-30Z` are affected by a vulnerability that involves bypassing policy restrictions on regular users. Normally, checkKeyValid() should return owner true for rootCreds. In the affected version, policy restriction did not work properly for users who did not have service (svc) or security token service (STS) accounts. This issue is fixed in `RELEASE.2021-10-13T00-23-17Z`. A downgrade back to release `RELEASE.2021-10-08T23-58-24Z` is available as a workaround.
📍 영향받는 시스템
Minio RELEASE.2021-10-10T16-53-30Z
⚔️ 공격 벡터
서비스 또는 STS 계정이 없는 일반 사용자가 정책 제한을 우회하여 권한을 획득하는 방식
🛡️ 대응 방법
Minio를 RELEASE.2021-10-13T00-23-17Z 버전 이상으로 업데이트하거나 RELEASE.2021-10-08T23-58-24Z 버전으로 다운그레이드하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전인 RELEASE.2021-10-10T16-53-30Z가 포함되어 있으면 해당 시스템은 취약합니다.
curl -s http://<minio-endpoint>/minio/VERSION | grep -E 'RELEASE.2021-10-10T16-53-30Z'