CVE-2023-28432 MinIO信息泄露漏洞版本标记错误

最近收到了安全部门发来的一个关于MinIO漏洞告警

咋眼一看，这个漏洞很是要命，必须得及时修复啊。

于是乎，开始着手升级工作。

首先，确认我们用的MinIO版本是 2021-03-26T00:00:41Z

之所以选择这个版本，因为这个版本协议是 Apache License 2.0 ,MinIO最后一个可以免费商用且不需要公布源代码的版本。

这个版本以后的，MinIO改变了授权协议为AGPL V3。

根据报告，该漏洞

确认受影响版本：RELEASE.2019-12-17T23-16-33Z <= MinIO < RELEASE.2023-03-20T20-16-18Z

修复版本：RELEASE.2023-03-20T20-16-18Z

我们目前使用的版本在影响版本中。

由于我们使用的版本过于陈旧，不敢升级大版本。

于是想着自己下载源代码，自己根据报告披露的源代码部分，打补丁修复。

// minio/cmd/bootstrap-peer-server.go

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) { ctx := newContext(r, w, "VerifyHandler") cfg := getServerSystemCfg() logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg)) }

// minio/cmd/bootstrap-peer-server.go

func getServerSystemCfg() ServerSystemConfig { envs := env.List("MINIO_") envValues := make(map[string]string, len(envs)) for _, envK := range envs { // skip certain environment variables as part // of the whitelist and could be configured // differently on each nodes, update skipEnvs() // map if there are such environment values if _, ok := skipEnvs[envK]; ok { continue } envValues[envK] = env.Get(envK, "") } return ServerSystemConfig{ MinioEndpoints: globalEndpoints, MinioEnv: envValues, } }

可是当我下载了源代码吗，切换到我们使用的版本分支上之后，我发现这个版本上并没有报告上的代码

func (b *bootstrapRESTServer) VerifyHandler(w http.ResponseWriter, r *http.Request) {
    ctx := newContext(r, w, "VerifyHandler")
    cfg := getServerSystemCfg()
    logger.LogIf(ctx, json.NewEncoder(w).Encode(&cfg))
    w.(http.Flusher).Flush()
}

func getServerSystemCfg() ServerSystemConfig {
    return ServerSystemConfig{
       MinioPlatform:  fmt.Sprintf("OS: %s | Arch: %s", runtime.GOOS, runtime.GOARCH),
       MinioEndpoints: globalEndpoints,
    }
}

哎呀，怎么回事？怎么回事？怎么回事？

根据报告，有一个验证工具可以来验证这个漏洞。https://github.com/MzzdToT/CVE-2023-28432

下载验证漏洞代码，执行代码后的结果显示我们使用的版本不受影响。