CVE 데이터베이스CVE-2023-28434

최종 갱신 2026-06-17English Advisory →

CVE-2023-284348.8/HIGHCISA KEV 등재CWE-269

MinIO Object Storage 권한 우회 및 임의 버킷 파일 업로드 취약점 (CVE-2023-28434)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

minio

대상 컴포넌트 / 패키지

minio

권고문 발행일

2023-03-22

CVSS v3.1

8.8

HIGH

30일 악용확률

7.9%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

RELEASE.2023-03-20T20-16-18Z 미만 버전의 MinIO 멀티클라우드 오브젝트 스토리지

파급 효과

공격자가 특수하게 조작된 요청을 통해 메타데이터 버킷 이름 검증을 우회하고, 권한이 없는 임의의 버킷에 객체를 업로드하여 데이터를 오염시키거나 시스템을 장악할 수 있습니다

권장 조치

MinIO를 최신 안정 버전(RELEASE.2023-03-20T20-16-18Z 이상)으로 즉시 업그레이드하거나, 임시 완화 조치로 브라우저 콘솔 API를 비활성화하십시오

영향받는 제품 및 버전 범위

RELEASE.2023-03-20T20-16-18Z 이전 버전의 모든 MinIO 배포판

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

MinIO 공식 보안 패치가 적용된 최신 버전으로 업그레이드를 수행하십시오.

bash

# Docker 환경에서 MinIO 최신 이미지로 업데이트 및 컨테이너 재시작
docker pull minio/minio:RELEASE.2023-03-20T20-16-18Z
docker stop minio-container
docker run -d --name minio-container -p 9000:9000 -p 9001:9001 minio/minio:RELEASE.2023-03-20T20-16-18Z server /data

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 환경 변수를 설정하여 MinIO 브라우저 콘솔 API를 비활성화함으로써 공격 경로를 차단할 수 있습니다.

bash

# MinIO 실행 환경 변수에 MINIO_BROWSER=off 설정 적용
export MINIO_BROWSER=off

# systemd 서비스를 사용하는 경우 서비스 파일 수정
# /etc/default/minio 또는 서비스 환경 설정 파일에 아래 라인 추가
# MINIO_BROWSER="off"
systemctl restart minio

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 구동 중인 MinIO의 버전을 확인하고, PostPolicyBucket 관련 비정상적인 요청 로그를 점검하십시오.

bash

# 실행 중인 MinIO 버전 확인
minio --version

# MinIO 액세스 로그에서 PostPolicyBucket 요청 및 비정상적인 버킷 접근 시도 필터링
grep -i 'PostPolicyBucket' /var/log/minio/minio.log

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Datadog Cloud & Kubernetes Security

실제 공격에 악용되고 있는 취약점이므로, 즉시 MinIO를 RELEASE.2023-03-20T20-16-18Z 이상으로 업데이트하거나 MINIO_BROWSER=off 설정을 적용하십시오.

실행 중인 Docker 컨테이너와 Kubernetes 클러스터의 컨테이너 탈출 및 권한 상승을 실시간 감시하세요

이미지 빌드 시점뿐 아니라 실제 운영 중인 클러스터 내부의 eBPF 기반 커널 이벤트와 잘못된 IAM/RBAC 구성을 실시간으로 감사하고 경보를 받으세요.

K8s/Docker 이미지 실시간 CVE 매핑 지원

14일 무료 클라우드 보안 감사 시작하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2023-28434)은 고성능 멀티클라우드 오브젝트 스토리지 솔루션인 MinIO에서 발생하는 권한 우회(Privilege Escalation) 취약점입니다. MinIO가 PostPolicyBucket API 요청을 처리하는 과정에서 메타데이터 버킷 이름에 대한 검증 로직이 미흡하여 발생합니다. 공격자는 이 검증 결함을 악용하여 원래 접근 권한이 제한되어야 하는 버킷의 경로 검증을 우회할 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자가 이 취약점을 악용하기 위해서는 arn:aws:s3:::* 권한을 가진 유효한 자격 증명과 콘솔 API(Console API) 접근 권한이 활성화되어 있어야 합니다. 공격자는 PostPolicyBucket 요청을 전송할 때, 메타데이터 버킷 이름을 검증하는 필터링 로직을 우회하도록 특수하게 조작된 페이로드를 주입합니다. 이를 통해 공격자는 자신이 원래 쓰기 권한을 가지고 있지 않은 다른 사용자의 임의 버킷에 임의의 객체(파일)를 강제로 업로드(Put Object)할 수 있게 됩니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CVSS 8.8(High)의 높은 위험도를 가지며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 적극적으로 악용되고 있음이 확인되었습니다. 공격자가 기업의 중요 백업 데이터, 소스 코드, 또는 정적 웹 자산이 저장된 버킷에 임의의 악성 파일을 업로드할 경우, 데이터 변조, 랜섬웨어 감염, 웹사이트 디페이스(Defacement) 및 2차 공급망 공격으로 이어질 수 있는 심각한 비즈니스 중단 위협을 초래합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Minio is a Multi-Cloud Object Storage framework. Prior to RELEASE.2023-03-20T20-16-18Z, an attacker can use crafted requests to bypass metadata bucket name checking and put an object into any bucket while processing `PostPolicyBucket`. To carry out this attack, the attacker requires credentials with `arn:aws:s3:::*` permission, as well as enabled Console API access. This issue has been patched in RELEASE.2023-03-20T20-16-18Z. As a workaround, enable browser API access and turn off `MINIO_BROWSER=off`.

https://github.com/minio/minio/commit/67f4ba154a27a1b06e48bfabda38355a010dfca5

출처: security-advisories@github.com · Patch

https://github.com/minio/minio/pull/16849

출처: security-advisories@github.com · Exploit, Issue Tracking

https://github.com/minio/minio/security/advisories/GHSA-2pxw-r47w-4p8c

출처: security-advisories@github.com · Vendor Advisory

https://github.com/minio/minio/commit/67f4ba154a27a1b06e48bfabda38355a010dfca5

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch

https://github.com/minio/minio/pull/16849

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Issue Tracking

https://github.com/minio/minio/security/advisories/GHSA-2pxw-r47w-4p8c

출처: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory

자주 묻는 실무 질문 (FAQ — CVE-2023-28434)

FAQ

Q1. CVE-2023-28434 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2023-28434의 기본 점수는 CVSS 8.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 7.9%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2023-28434에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 minio이며, 대상 컴포넌트는 minio입니다. 상세 영향 범위: RELEASE.2023-03-20T20-16-18Z 이전 버전의 모든 MinIO 배포판

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] MinIO를 최신 안정 버전(RELEASE.2023-03-20T20-16-18Z 이상)으로 즉시 업그레이드하거나, 임시 완화 조치로 브라우저 콘솔 API를 비활성화하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동