Vulnerabilidad en los usuarios "admin" autorizados para "admin:ServerUpdate" en MinIO (CVE-2022-35919)

Gravedad CVSS v3.1:

BAJA

Tipo:

CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)

Fecha de publicación:

01/08/2022

Última modificación:

10/10/2023

Descripción

MinIO es un almacenamiento de objetos de alto rendimiento publicado bajo la licencia pública general Affero de GNU versión v3.0. En versiones afectadas, todos los usuarios "admin" autorizados para "admin:ServerUpdate" pueden provocar selectivamente un error que, en respuesta, devuelva el contenido de la ruta solicitada. Cualquier sistema operativo normal permitiría el acceso a contenidos en cualquier ruta arbitraria que sea legible por el proceso MinIO. Es recomendado a usuarios actualizar. Los usuarios que no puedan actualizar pueden deshabilitar la API ServerUpdate denegando la acción "admin:ServerUpdate" para sus usuarios administradores por medio de políticas IAM

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 2.70 BAJA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno