MinIO CVE-2023-28432：平滑升级与 mc 迁移指南

漏洞概述

MinIO集群模式中存在一个信息泄露漏洞。攻击者可以利用该漏洞获取存储在MinIO中的敏感数据。

漏洞编号：CVE-2023-28432

漏洞描述

漏洞源于MinIO集群模式的静态网页泄露问题。该漏洞允许未经身份验证的用户通过访问特定URL来获取存储在MinIO中的文件内容。攻击者可以利用该漏洞下载敏感数据，例如用户凭证、加密密钥等。
影响版本：RELEASE.2019-12-17T23-16-33Z<= MinIO <RELEASE.2023-03-20T20-16-18Z

实际处理

• 旧版本的minio要升级至RELEASE.2022-10-29T06-21-33Z或更高版本时，会导致无法启动。
• 需要部署一个新版本的minio，保持新旧2个版本的minio，再借助mc工具将老版本的文件迁移到新版本的minio中。
• 最后修改启动配置，保持原本的配置要求。

安装新版本的minio

#创建minio目录mkdir/home/usr/local/minio2023#进入minio目录cd/home/usr/local/minio2023#在线安装（或自行手动下载指定版本）wgethttps://dl.min.io/server/minio/release/linux-amd64/minio#创建目录mkdir/datamkdir/config#赋予权限chmod777minio#使用start.sh脚本启动./start.sh minio

附加start.sh脚本内容，可根据实际情况调整【修改自己的端口、用户名、密码即可】

MINIO_ROOT_USER=your_account MINIO_ROOT_PASSWORD=your_password nohup./minio server--console-address":7004"-address":9004"--config-dir/home/usr/local/minio2023config/home/usr/local/minio2023/data>/home/usr/local/minio2023/minio.log 2>&1 &#

安装mc工具

wget http://dl.minio.org.cn/client/mc/release/linux-amd64/mc chmod+x mcmvmc/usr/bin/# 查看帮助mc-h

mc迁移数据

• 分别设置旧版、新版mino的alias

#设置旧版mc aliassetminio2021 http://127.0.0.1:9000 your_account your_password#设置新版mc aliassetminio2023 http://127.0.0.1:9004 your_account your_password

• 进行数据迁移

#全量迁移，重名文件不覆盖，如bucket不存在，会自动创建mc mirror minio2021 minio2023

最后的最后

1. 等待文件迁移完毕后，可以关闭两个minio，将旧版minio的start.sh替换成新版的启动脚本，保持原本的端口。
2. 新版本的minio，根据情况设置bucket的作用范围为：public