Trusted Design

解説:

CVE-2023-28434に関する脆弱性の調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2023-28434は、マルチクラウドオブジェクトストレージフレームワークであるMinIOにおける認証バイパスの脆弱性です。この脆弱性により、攻撃者はメタデータバケット名のチェックを回避し、PostPolicyBucketの処理中に任意のバケットにオブジェクトを配置することが可能になります。

1.1 影響 この脆弱性が悪用されると、認証されたユーザーがワイルドカードS3権限を持つ場合、任意のバケットにオブジェクトを書き込むことができ、MinIOデプロイメント全体のデータ整合性が損なわれる可能性があります。 また、CVE-2023-28432と組み合わされた攻撃チェーンの一部として、攻撃者が不正なコード実行を行う可能性も指摘されています。その場合、攻撃者は管理者認証情報を取得し、MIRROR_URLを指定した更新コマンドをトリガーしてMinIOクライアントをトロイの木馬化されたバージョンに置き換える可能性があります。

1.2 深刻度 CVSSv3.1の評価は「CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H」です。

• 攻撃経路 (AV:N): ネットワーク経由で悪用可能です。
• 攻撃の複雑さ (AC:L): 攻撃は複雑ではありません。
• 必要な特権 (PR:L): 攻撃者は低い特権（arn:aws:s3:::*権限を持つ認証情報）を必要とします。
• ユーザーインタラクション (UI:N): ユーザーの操作は不要です。
• スコープ (S:U): 脆弱性の影響は、そのコンポーネントのセキュリティ境界を越えません。
• 機密性への影響 (C:H): 機密性が完全に損なわれる可能性があります。
• 完全性への影響 (I:H): データが完全に改ざんされる可能性があります。
• 可用性への影響 (A:H): サービスが完全に利用不能になる可能性があります。

CISA（米国サイバーセキュリティ・インフラセキュリティ庁）は、この脆弱性が「悪用が確認された脆弱性（Known Exploited Vulnerabilities）」カタログに掲載されており、実環境で活発に悪用されていると報告しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン この脆弱性はMinIOソフトウェア自体に存在するため、特定のOSバージョンではなく、MinIOのバージョンに依存します。 提供された情報では、特定のOSバージョンへの影響は明記されていません。

2.2 影響を受ける設定 以下の両方の条件を満たすMinIO環境が影響を受けます。

• MinIOのバージョン: RELEASE.2023-03-20T20-16-18Zより前のすべてのバージョン。
• 必要な権限: arn:aws:s3:::*権限を持つ認証情報が必要です。
• 有効な機能: Console APIアクセスが有効になっている必要があります。

2023年9月20日の時点で、世界中で約30,000のMinIOインスタンスがこの脆弱性の影響を受ける可能性があるとされています。

3. 影響を受けた時の兆候

この脆弱性に関する具体的な直接的な「兆候」については、提供された検索結果には明記されていません。ただし、SentinelOneのブログ記事 およびAppCheckのセキュリティアドバイザリ には「Indicators of Compromise (IoCs)」への参照があり、Security JoesのGitHubリポジトリで詳細を確認できるとされています。

4. 推奨対策

4.1 本対策 * MinIOをバージョン RELEASE.2023-03-20T20-16-18Z以降に直ちにアップグレードしてください。 * 常に利用可能な最新バージョンへのアップグレードが推奨されます。 * すべてのIAMポリシーを見直し、不要なワイルドカードS3権限（arn:aws:s3:::*）を削除してください。 * 不正なオブジェクトがないかバケットの内容を監査してください。

4.2 暫定回避策（緩和策） * MinIO Console APIアクセスが操作に不要な場合は無効にしてください。 * ブラウザAPIアクセスを有効にし、MINIO_BROWSER=offの設定を無効にしてください。 * 暫定的な緩和策の適用には注意が必要であり、脆弱性を完全に修復しない可能性や、必要な機能に影響を与える可能性があります。

他に解説すべき観点

• 関連する脆弱性: この脆弱性は、CVE-2023-28432と併せて攻撃チェーンで利用されることがあり、不正なコード実行につながる可能性があります。
• 脆弱なコンポーネント: 脆弱なコードは、minio/cmd/generic-handlers.go内のsetRequestValidityHandler関数に存在し、PostPolicyBucketコンポーネントにおけるバケット名検証の不適切な処理に関連しています。

---

参照したサイト:

• CVE-2023-28434: Minio Auth Bypass Vulnerability - SentinelOne
• CVE-2023-28434 — DoS in Minio+2 Minio+2 | dbugs
• CRITICAL RISK CVE-2023-28434 MinIO Vulnerability – Unauthorised Insertion of Arbitrary Objects into Buckets due to Improper Privilege Management in Console API
• NVD-CVE-2023-28434 - NIST
• Privilege Escalation on Linux/MacOS · CVE-2023-28434 · GitHub Advisory Database
• CVE-2023-28434 - MinIO Security Feature Bypass Vulnerability - [Actively Exploited]
• Understanding the Attack Vector for CVE-2023-28432 and CVE-2023-28434 - MinIO