MinIO 是一个基于Apache License v2.0开源协议的对象存储服务。它兼容亚马逊S3云存储服务接口，非常适合于存储大容量非结构化的数据，例如图片、视频、日志文件、备份数据和容器/虚拟机镜像等。

 MinIO中存在一处信息泄露漏洞，由于Minio集群进行信息交换的9000端口，在未经配置的情况下通过发送特殊HPPT请求进行未授权访问，进而导致MinIO对象存储的相关环境变量泄露，如：MINIO_SECRET_KEY 和 MINIO_ROOT_PASSWORD 等所有环境变量信息。导致攻击者可以利用这些信息任意访问MinIO集群中的所有文件。使用官网仓库 docs/orchestration/docker-compose 启动的低版本集群默认受到该漏洞影响。

网上已公布的PoC如下：

POST /minio/bootstrap/v1/verify HTTP 1.1

github脚本地址：

https://github.com/Mr-xn/CVE-2023-28432

受影响版本MinIO 2019-12-17T23-16-33Z <= MinIO < 2023-03-20T20-16-18Z

目前官方已发布安全版本修复此漏洞建议受影响的用户及时升级防护：https://github.com/minio/minio/releases/tag/RELEASE.2023-03-20T20-16-18Z

【彩蛋】

《知道创宇404Paper精粹2022年(下)》白嫖获取方式 ↓↓↓↓

点我->>赠送404Paper精粹 | 安全圈大佬都在关注的资源<<--

23hvv红蓝py交流群，共享资源 一起py 

不定期福利赠送

群满可以后台加vx备注py 邀请进群

【往期推荐】

【内网渗透】内网信息收集命令汇总

【内网渗透】域内信息收集命令汇总

【超详细 | Python】CS免杀-Shellcode Loader原理(python)

【超详细 | Python】CS免杀-分离+混淆免杀思路

【超详细 | 钟馗之眼】ZoomEye-python命令行的使用

【超详细 | 附EXP】Weblogic CVE-2021-2394 RCE漏洞复现

【超详细】CVE-2020-14882 | Weblogic未授权命令执行漏洞复现

【超详细 | 附PoC】CVE-2021-2109 | Weblogic Server远程代码执行漏洞复现

【漏洞分析 | 附EXP】CVE-2021-21985 VMware vCenter Server 远程代码执行漏洞

【CNVD-2021-30167 | 附PoC】用友NC BeanShell远程代码执行漏洞复现

【奇淫巧技】如何成为一个合格的“FOFA”工程师

【超详细】Microsoft Exchange 远程代码执行漏洞复现【CVE-2020-17144】

【超详细】Fastjson1.2.24反序列化漏洞复现

  记一次HW实战笔记 | 艰难的提权爬坑

走过路过的大佬们留个关注再走呗

往期文章有彩蛋哦

一如既往的学习，一如既往的整理，一如即往的分享

仅用于学习交流，不得用于非法用途

如侵权请私聊公众号删文