Harshavardhana

Existe um bypass de autenticação no caminho de código `STREAMING-UNSIGNED-PAYLOAD-TRAILER`. Um invasor que possua uma chave de acesso válida pode gravar objetos arbitrários em qualquer bucket sem a chave secreta ou uma assinatura criptográfica válida. O problema ocorre porque `PutObjectHandler` e `PutObjectPartHandler` utilizam `newUnsignedV4ChunkedReader` com um portão de verificação de assinatura que depende apenas do cabeçalho `Authorization`. Simultaneamente, `isPutActionAllowed` aceita credenciais do cabeçalho `Authorization` ou do parâmetro de consulta `X-Amz-Credential`. Ao omitir o cabeçalho `Authorization` e fornecer credenciais via string de consulta, o portão de assinatura é ignorado e a solicitação é processada usando as permissões da chave de acesso impersonada. Isso afeta caminhos de bucket padrão e de tabelas/warehouse, bem como uploads de múltiplas partes.

A flaw in the `extractMetadataFromMime()` function allows any authenticated user with `s3:PutObject` permission to inject internal server-side encryption metadata into objects. This is achieved by sending crafted `X-Minio-Replication-*` headers on a normal PutObject request. The server incorrectly maps these headers to internal encryption metadata without verifying the request's legitimacy. Objects written in this manner become permanently unreadable through the S3 API. The issue was introduced in commit `468a9fae83e965ecefa1c1fdc2fc57b84ece95b0` on 2024-03-28. The affected component is `cmd/handler-utils.go`.

The MinIO AIStor Security Token Service (STS) `AssumeRoleWithLDAPIdentity` endpoint is susceptible to LDAP credential brute-forcing. This is due to a combination of distinguishable error responses that allow for username enumeration and the absence of rate limiting on authentication attempts. An unauthenticated network attacker can enumerate valid LDAP usernames and then attempt unlimited password guesses to obtain temporary AWS-style STS credentials, potentially gaining access to the victim's S3 buckets and objects. The issue involves two weaknesses: user enumeration via distinguishable error messages and missing rate limiting on STS authentication endpoints. Exploitation allows an attacker to enumerate valid LDAP usernames, perform high-speed password brute-force attacks, and, upon success, obtain temporary AWS-style STS credentials with full access to the victim user's S3 resources. The API endpoint `/Action=AssumeRoleWithLDAPIdentity` is involved in this issue.

The issue is related to a user with `consoleAdmin` permissions potentially creating a user that matches the root credential `accessKey`. Once this user is created successfully, the root credential ceases to work appropriately. Exploitation of this issue may allow a remote attacker to disable access to the root credentials.

O problema está relacionado a um acúmulo infinito de go-routines durante a manutenção de conexões estabelecidas, devido ao fato de os clientes HTTP não fecharem as conexões. As implantações do MinIO voltadas para o público são as mais afetadas.

A vulnerabilidade envolve a contornamento das restrições de política para usuários regulares no Minio, um aplicativo nativo do Kubernetes para armazenamento em nuvem. Normalmente, a função `checkKeyValid()` deve retornar `owner true` para `rootCreds`. No entanto, na versão afetada, a restrição de política não funcionava corretamente para usuários que não possuíam contas de serviço (svc) ou de serviço de token de segurança (STS).

O MinIO é um serviço de armazenamento de objetos de código aberto e de alto desempenho, compatível por API com o serviço de armazenamento em nuvem Amazon S3. A vulnerabilidade permite a modificação MITM (Man-in-the-Middle) de corpos de solicitação cuja integridade deveria ser garantida por assinaturas de blocos. Em uma solicitação PUT usando a codificação `aws-chunked`, o MinIO normalmente verifica as assinaturas no final de um bloco. Essa verificação pode ser ignorada se o cliente enviar um tamanho de bloco falso que seja muito maior do que os dados reais enviados: o servidor aceita e conclui a solicitação sem nunca chegar ao final do bloco + e, portanto, sem nunca verificar a assinatura do bloco.

O problema está relacionado a erros de autorização no MinIO, um serviço de armazenamento de objetos de alto desempenho de código aberto compatível com o armazenamento em nuvem Amazon S3. Ele permite que um invasor remoto contorne uma política de leitura exclusiva (readOnly) criando uma URL temporária ‘mc share upload’, o que pode comprometer a integridade das informações protegidas. Todos os usuários do MinIO multi-users são afetados.

**Nome do software vulnerável e versões afetadas: Versões do MinIO anteriores à RELEASE.2021-01-30T00-20-58Z Descrição: O problema está relacionado a uma vulnerabilidade de falsificação de solicitação do lado do servidor. O aplicativo alvo pode possuir funcionalidades para importar dados de uma URL, publicar dados em uma URL ou, de outra forma, ler dados de uma URL que possa ser adulterada. Um invasor pode modificar as chamadas a essa funcionalidade fornecendo uma URL completamente diferente ou manipulando a forma como as URLs são construídas, permitindo-lhe abusar da funcionalidade no servidor para ler ou atualizar recursos internos. Isso pode permitir que o invasor leia a configuração do servidor, conecte-se a serviços internos ou execute solicitações POST para serviços internos que não deveriam ser expostos. Recomendações: Para versões anteriores à RELEASE.2021-01-30T00-20-58Z, atualize para a versão RELEASE.2021-01-30T00-20-58Z ou posterior. Como solução alternativa temporária, considere desativar o front-end do navegador definindo a variável de ambiente `MINIO BROWSER` como `off`.

A vulnerabilidade permite a contornar a autenticação na API de administração do MinIO. Com uma chave de acesso de administrador, é possível realizar operações na API de administração, como criar novas contas de serviço para chaves de acesso existentes, sem conhecer a chave secreta de administrador.