🇰🇷 한글 설명
MinIO의 특정 버전에서 악의적인 클라이언트가 조작된 HTTP API 호출을 통해 사용자 정책을 업데이트하고 권한을 상승시킬 수 있는 취약점이 발견되었습니다. 이 취약점은 버전 RELEASE.2021-12-27T07-23-18Z 이전 버전에서 발생합니다.
💡 쉬운 설명
해커가 특수한 명령을 보내서 일반 사용자가 관리자 권한을 몰래 얻을 수 있는 보안 구멍이 발견되었습니다. 이를 막기 위해서는 소프트웨어를 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
MinIO is a Kubernetes native application for cloud storage. Prior to version `RELEASE.2021-12-27T07-23-18Z`, a malicious client can hand-craft an HTTP API call that allows for updating policy for a user and gaining higher privileges. The patch in version `RELEASE.2021-12-27T07-23-18Z` changes the accepted request body type and removes the ability to apply policy changes through this API. There is a workaround for this vulnerability: Changing passwords can be disabled by adding an explicit `Deny` rule to disable the API for users.
📍 영향받는 시스템
MinIO RELEASE.2021-12-27T07-23-18Z 미만 버전
⚔️ 공격 벡터
조작된 HTTP API 호출을 통한 권한 상승 공격
🛡️ 대응 방법
MinIO를 RELEASE.2021-12-27T07-23-18Z 이상 버전으로 업데이트하거나, 사용자 비밀번호 변경 API를 Deny 규칙으로 차단
🔧 검증 코드
명령어 결과에 패치된 버전(RELEASE.2021-12-27T07-23-18Z) 이후의 버전 정보가 포함되어 있는지 확인합니다.
curl -s http://<minio-endpoint>/minio/version | grep -E 'RELEASE.2021-12-27T07-23-18Z'