Vulnerabilidad en la codificación aws-chunked en una petición PUT en MinIO (CVE-2021-21390)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

19/03/2021

Última modificación:

25/03/2021

Descripción

MinIO es un servicio de almacenamiento de objetos de alto rendimiento de código abierto y su API es compatible con el servicio de almacenamiento en la nube Amazon S3. En MinIO versiones anteriores a RELEASE.2021-03-17T02-33-02Z, se presenta una vulnerabilidad que permite la modificación por parte de un MITM de los cuerpos de las peticiones que se supone que presentan la integridad garantizada por las firmas de los fragmentos. En una petición PUT que usa la codificación aws-chunked, MinIO normalmente comprueba las firmas al final de un fragmento. Esta comprobación puede saltarse si el cliente envía un tamaño de fragmento falso que es mucho mayor que los datos reales enviados: el servidor acepta y completa la petición sin llegar nunca al final del fragmento + por tanto sin comprobar nunca la firma del fragmento. Esto se ha corregido en la versión RELEASE.2021-03-17T02-33-02Z. Como solución, se puede evitar el uso de peticiones de carga de firmas de fragmentos basadas en la codificación "aws-chunked" y, en su lugar, usar TLS. Los SDKs de MinIO deshabilitan automáticamente la firma de codificación en trozos cuando el endpoint del servidor está configurado con TLS

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.90 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.90

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:M/Au:N/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: AV:N/AC:M/Au:N/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno