PT-2022-23025

CVE-2022-35919

Publicado

2022-07-29

Atualizado

2024-12-26

Descrição por

CVSS 3.1

7.4

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

MinIO (versões afetadas não especificadas)

Descrição

A vulnerabilidade afeta o MinIO, um armazenamento de objetos de alto desempenho, no qual usuários admin autorizados para a ação admin:ServerUpdate podem provocar um erro que retorna o conteúdo do caminho solicitado. Isso permite o acesso a conteúdos em caminhos arbitrários que possam ser lidos pelo processo do MinIO.

Recomendações

Para todas as versões afetadas, recomenda-se que os usuários realizem a atualização.

Como solução alternativa temporária, considere desativar a API ServerUpdate, negando a ação admin:ServerUpdate para usuários admin por meio de políticas do IAM.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Alevsk

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-22: Improper Limitation of a Pathname to a Restricted Directory (\'Path Traversal\')

Identificadores relacionados

CVE-2022-35919