CVE-2022-35919
minio में सर्वर अपडेट एडमिन API के लिए प्रमाणित अनुरोध पाथ ट्रैवर्सल की अनुमति देते हैं
- प्रकाशित
- 1 अग॰ 2022
- अद्यतन
- 22 अप्रैल 2025
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 9 अक्टू॰ 2023
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:Lउच्च · अगले 30 दिन
- प्रतिशत
- 98.9%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
MinIO एक उच्च-प्रदर्शन ऑब्जेक्ट स्टोरेज है जो GNU Affero General Public License v3.0 के अंतर्गत जारी किया गया है। प्रभावित संस्करणों में, `admin:ServerUpdate` के लिए अधिकृत सभी 'admin' उपयोगकर्ता चुनिंदा रूप से एक त्रुटि ट्रिगर कर सकते हैं, जिसके जवाब में अनुरोधित पथ की सामग्री लौटाई जाती है। कोई भी सामान्य OS प्रणाली MinIO प्रक्रिया द्वारा पठनीय किसी भी मनमाने पथ पर सामग्री तक पहुँच की अनुमति दे सकती है। उपयोगकर्ताओं को अपग्रेड करने की सलाह दी जाती है। जो उपयोगकर्ता अपग्रेड करने में असमर्थ हैं, वे IAM नीतियों के माध्यम से अपने admin उपयोगकर्ताओं के लिए `admin:ServerUpdate` क्रिया को अस्वीकार करके ServerUpdate API को अक्षम कर सकते हैं।
स्रोत
Jenson Zhao · go · 9 अक्टू॰ 2023
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।