リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、8e20430d-a72b-11ed-a04f-40b034455553 のアドバイザリに記載されている脆弱性の影響を受けます。

  - MinIO は、GNU Affero General Public License v3.0 の下でリリースされた High Performance Object Storage です。管理者以外のユーザーが root または他の管理ユーザーのサービスアカウントを作成でき、その後、生成された認証情報を介してアクセスポリシーを装うことができるというセキュリティ問題が見つかりました。これにより、ユーザーは権限を root ユーザーの権限に昇格させることができます。この脆弱性はプルリクエスト #14729 で解決され、「RELEASE.2022-04-12T06-55-35Z」に含まれています。アップグレードできないユーザーは、「admin: CreateServiceAccount」拒否ポリシーを明示的に追加することでこの問題を回避できますが、これにより、ユーザーは自身のサービスアカウントを作成することもできなくなります。(CVE-2022-24842)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

FreeBSD: MinIO -- 権限のないユーザーが、管理ユーザー用のサービスアカウントを作成するおそれがあります (8e20430d-a72b-11ed-a04f-40b034455553)

high Nessus プラグイン ID 171625

バージョン 1.0