- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1315 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
MinIO, çoklu bulut nesne depolama çerçevesidir. RELEASE.2023-03-20T20-16-18Z sürümünden önce, bir saldırgan hazırlanmış istekler kullanarak meta veri kova (bucket) adı denetimini atlayabilir ve PostPolicyBucket işlenirken herhangi bir kovaya nesne yerleştirebilir. Bu saldırının gerçekleştirilmesi için saldırganın arn:aws:s3:::* iznine sahip kimlik bilgilerine ve etkinleştirilmiş Console API erişimine ihtiyacı vardır. Bu sorun RELEASE.2023-03-20T20-16-18Z sürümünde giderilmiştir. Geçici çözüm olarak tarayıcı API erişimini etkinleştirin ve MINIO_BROWSER=off ayarını kapatın.
Kaynaktaki açıklama (İngilizce)
Minio is a Multi-Cloud Object Storage framework. Prior to RELEASE.2023-03-20T20-16-18Z, an attacker can use crafted requests to bypass metadata bucket name checking and put an object into any bucket while processing PostPolicyBucket. To carry out this attack, the attacker requires credentials with arn:aws:s3:::* permission, as well as enabled Console API access. This issue has been patched in RELEASE.2023-03-20T20-16-18Z. As a workaround, enable browser API access and turn off MINIO_BROWSER=off.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| MinIO | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.