Alevsk

A vulnerabilidade afeta o MinIO, um armazenamento de objetos de alto desempenho, no qual usuários `admin` autorizados para a ação `admin:ServerUpdate` podem provocar um erro que retorna o conteúdo do caminho solicitado. Isso permite o acesso a conteúdos em caminhos arbitrários que possam ser lidos pelo processo do MinIO.

O Minio Console está sujeito a uma falha de contorno de autenticação na Console do Operador quando um IDP externo está habilitado. Essa falha afeta todos os usuários da versão v0.12.2 e anteriores. O número estimado de dispositivos potencialmente afetados em todo o mundo não está disponível. Não foram relatados incidentes reais em que essa vulnerabilidade tenha sido explorada. Os detalhes técnicos sobre a exploração incluem o uso de autenticação por IDP externo. Para explorar essa vulnerabilidade, um invasor precisaria atacar o Console do Operador com um IDP externo habilitado.

**Nome do software vulnerável e versões afetadas: Versões do MinIO anteriores à RELEASE.2021-01-30T00-20-58Z Descrição: O problema está relacionado a uma vulnerabilidade de falsificação de solicitação do lado do servidor. O aplicativo alvo pode possuir funcionalidades para importar dados de uma URL, publicar dados em uma URL ou, de outra forma, ler dados de uma URL que possa ser adulterada. Um invasor pode modificar as chamadas a essa funcionalidade fornecendo uma URL completamente diferente ou manipulando a forma como as URLs são construídas, permitindo-lhe abusar da funcionalidade no servidor para ler ou atualizar recursos internos. Isso pode permitir que o invasor leia a configuração do servidor, conecte-se a serviços internos ou execute solicitações POST para serviços internos que não deveriam ser expostos. Recomendações: Para versões anteriores à RELEASE.2021-01-30T00-20-58Z, atualize para a versão RELEASE.2021-01-30T00-20-58Z ou posterior. Como solução alternativa temporária, considere desativar o front-end do navegador definindo a variável de ambiente `MINIO BROWSER` como `off`.