Harshavardhana

يوجد ثغرة في تجاوز المصادقة في مسار الكود `STREAMING-UNSIGNED-PAYLOAD-TRAILER`. يمكن للمهاجم الذي يمتلك مفتاح وصول صالحًا كتابة كائنات عشوائية إلى أي دلو (bucket) دون الحاجة إلى مفتاح سري أو توقيع تشفير صالح. تحدث هذه المشكلة لأن `PutObjectHandler` و`PutObjectPartHandler` يستخدمان `newUnsignedV4ChunkedReader` مع بوابة التحقق من التوقيع التي تعتمد فقط على رأس `Authorization`. وفي الوقت نفسه، تقبل دالة `isPutActionAllowed` بيانات الاعتماد إما من رأس `Authorization` أو من معلمة الاستعلام `X-Amz-Credential`. ومن خلال حذف رأس `Authorization` وتوفير بيانات الاعتماد عبر سلسلة الاستعلام، يتم تجاوز بوابة التوقيع، وتتم معالجة الطلب باستخدام أذونات مفتاح الوصول الذي تم انتحال هويته. ويؤثر هذا على مسارات الحاويات القياسية وحاويات الجداول/المستودعات، بالإضافة إلى عمليات التحميل متعددة الأجزاء.

يسمح عيب في الدالة `extractMetadataFromMime()` لأي مستخدم تمت مصادقته ولديه إذن `s3:PutObject` بإدخال بيانات تعريف التشفير الداخلية من جانب الخادم إلى الكائنات. ويتم تحقيق ذلك عن طريق إرسال رؤوس `X-Minio-Replication-*` مصممة خصيصًا في طلب PutObject عادي. ويقوم الخادم بتعيين هذه الرؤوس بشكل غير صحيح إلى بيانات تعريف التشفير الداخلية دون التحقق من شرعية الطلب. تصبح الكائنات المكتوبة بهذه الطريقة غير قابلة للقراءة بشكل دائم عبر واجهة برمجة تطبيقات S3. ظهرت هذه المشكلة في الالتزام `468a9fae83e965ecefa1c1fdc2fc57b84ece95b0` بتاريخ 2024-03-28. المكون المتأثر هو `cmd/handler-utils.go`.

نقطة النهاية `AssumeRoleWithLDAPIdentity` في خدمة الرموز الأمنية (STS) لـ MinIO AIStor معرضة لهجمات القوة الغاشمة على بيانات اعتماد LDAP. ويرجع ذلك إلى مزيج من استجابات الأخطاء المميزة التي تسمح بتعداد أسماء المستخدمين وغياب الحد الأقصى لعدد محاولات المصادقة. يمكن لمهاجم شبكي غير مصدق أن يقوم بتعداد أسماء مستخدمي LDAP الصالحة ثم يحاول تخمين كلمات المرور بشكل غير محدود للحصول على بيانات اعتماد STS مؤقتة على غرار AWS، مما قد يتيح له الوصول إلى سلال S3 وكائنات الضحية. تتضمن المشكلة نقطتي ضعف: تعداد المستخدمين عبر رسائل الخطأ المميزة وغياب الحد الأقصى لعدد محاولات المصادقة على نقاط نهاية مصادقة STS. يتيح استغلال هذه الثغرة للمهاجم تعداد أسماء المستخدمين الصالحة في LDAP، وتنفيذ هجمات القوة الغاشمة عالية السرعة على كلمات المرور، وفي حالة النجاح، الحصول على بيانات اعتماد STS مؤقتة على غرار AWS مع وصول كامل إلى موارد S3 الخاصة بالمستخدم الضحية. تتضمن هذه المشكلة نقطة نهاية واجهة برمجة التطبيقات (API) `/Action=AssumeRoleWithLDAPIdentity`.

The issue is related to a user with `consoleAdmin` permissions potentially creating a user that matches the root credential `accessKey`. Once this user is created successfully, the root credential ceases to work appropriately. Exploitation of this issue may allow a remote attacker to disable access to the root credentials.

The issue is related to an unending go-routine buildup while keeping connections established due to HTTP clients not closing the connections. Public-facing MinIO deployments are most affected.

The issue involves bypassing policy restrictions on regular users in Minio, a Kubernetes native application for cloud storage. Normally, the `checkKeyValid()` function should return owner true for `rootCreds`. However, in the affected version, policy restriction did not work properly for users who did not have service (svc) or security token service (STS) accounts.

MinIO is an open-source high performance object storage service and it is API compatible with Amazon S3 cloud storage service. The issue enables MITM modification of request bodies that are meant to have integrity guaranteed by chunk signatures. In a PUT request using `aws-chunked` encoding, MinIO ordinarily verifies signatures at the end of a chunk. This check can be skipped if the client sends a false chunk size that is much greater than the actual data sent: the server accepts and completes the request without ever reaching the end of the chunk + thereby without ever checking the chunk signature.

The issue is related to authorization errors in MinIO, an open-source high performance object storage service compatible with Amazon S3 cloud storage. It allows a remote attacker to bypass a readOnly policy by creating a temporary 'mc share upload' URL, potentially impacting the integrity of protected information. Everyone using MinIO multi-users is impacted.

Name of the Vulnerable Software and Affected Versions: MinIO versions prior to RELEASE.2021-01-30T00-20-58Z Description: The issue is related to a server-side request forgery vulnerability. The target application may have functionality for importing data from a URL, publishing data to a URL, or otherwise reading data from a URL that can be tampered with. An attacker can modify the calls to this functionality by supplying a completely different URL or by manipulating how URLs are built, allowing them to abuse functionality on the server to read or update internal resources. This can enable the attacker to read server configuration, connect to internal services, or perform post requests towards internal services that are not intended to be exposed. Recommendations: For versions prior to RELEASE.2021-01-30T00-20-58Z, upgrade to version RELEASE.2021-01-30T00-20-58Z or later. As a temporary workaround, consider disabling the browser front-end by setting the `MINIO BROWSER` environment variable to `off`.

The issue allows for an authentication bypass in the MinIO admin API. Given an admin access key, it is possible to perform admin API operations, such as creating new service accounts for existing access keys, without knowing the admin secret key.