### 漏洞关键信息 - **CVE编号**: - CVE-2019-10222, CVE-2020-1700, CVE-2020-1760, CVE-2020-10753, CVE-2020-12059, CVE-2020-25678, CVE-2020-27781, CVE-2021-3524, CVE-2021-3531, CVE-2021-3979, CVE-2021-20288, CVE-2023-43040 - **受影响组件**: Ceph - **漏洞类型**: - _CVE-2019-10222_: 未验证的攻击者发送有效HTTP头部可致Ceph RGW服务器崩溃； - _CVE-2020-1700_: 权限认证后Ceph RGW Beast前端不当处理导致资源耗尽； - _CVE-2020-1760_: 未正确处理Amazon S3匿名请求，易受XSS攻击； - _CVE-2020-10753_: Amazon S3存储桶中CORS配置暴露HTTP Header注入漏洞； - _CVE-2020-12059_: POST请求带无效标签引发的Ceph RGW进程崩溃； - _CVE-2020-25678_: ceph的mgr模块密码明文存储，存在信息泄露； - _CVE-2020-27781_: OpenStack Manila用户可能操纵CephFS用户认证，导致权限提升； - _CVE-2021-3524_: Ceph S3存储桶中CORS暴露HTTP Header注入漏洞； - _CVE-2021-3531_: 双斜杠URL导致RGW崩溃； - _CVE-2021-3979_: Ceph存储中密钥长度问题导致密钥泄露； - _CVE-2021-20288_: POST请求中包含特定`bucket`键值，允许写入不符合权限范围的存储桶； - _CVE-2023-43040_: Ceph RGW中的匿名POST请求权限控制漏洞。 - **补丁更新**: Debian 10 buster已修复为`12.2.11+dfsg1-2.1+deb10u1`版本，建议更新。 - **安全建议**: 强烈推荐更新Ceph包; 参考详细安全状态页面了解更多信息。