CVE-2022-35919 PoC — Authenticated requests for server update admin API allows path traversal in minio

Source

https://github.com/ifulxploit/Minio-Security-Vulnerability-Checker

Associated Vulnerability

Title: Authenticated requests for server update admin API allows path traversal in minio (CVE-2022-35919)
Description:MinIO is a High Performance Object Storage released under GNU Affero General Public License v3.0. In affected versions all 'admin' users authorized for `admin:ServerUpdate` can selectively trigger an error that in response, returns the content of the path requested. Any normal OS system would allow access to contents at any arbitrary paths that are readable by MinIO process. Users are advised to upgrade. Users unable to upgrade may disable ServerUpdate API by denying the `admin:ServerUpdate` action for your admin users via IAM policies.

Description

Program ini adalah alat (tool) yang dibuat untuk memeriksa keamanan sistem Minio terkait dengan kerentanan CVE-2022-35919

Readme

# Minio Security Vulnerability Checker

## Deskripsi

Program ini adalah alat (*tool*) yang dibuat untuk memeriksa keamanan sistem Minio terkait dengan kerentanan CVE-2022-35919. Alat ini dirancang untuk membantu pengguna dalam mendeteksi potensi kerentanan di dalam konfigurasi Minio mereka.

## Cara Penggunaan

1. Pastikan Anda telah menginstal Python (versi 3.x) di sistem Anda.
2. Unduh skrip `minio_security_checker.py` dari repositori ini.
3. Buka terminal atau command prompt, dan jalankan skrip dengan perintah:

    ```bash
    python minio_security_checker.py -u <URL_Target> -a <Minio_AccessKey> -s <Minio_SecretKey>
    ```

    Gantilah `<URL_Target>`, `<Minio_AccessKey>`, dan `<Minio_SecretKey>` dengan informasi yang sesuai.

4. Tunggu hingga skrip menyelesaikan prosesnya. Hasil akan ditampilkan di terminal.

## Kegunaan

Alat ini berguna untuk:

- Mendeteksi kerentanan keamanan CVE-2022-35919 pada sistem Minio.
- Memberikan informasi tentang potensi masalah di dalam URL yang disediakan.

## Author

Nama: ifulxpkoit  
Email: ifulxploit@gmail.com

**Catatan**: Pastikan untuk menggunakan alat ini secara etis dan hanya untuk tujuan keamanan yang sah. Jangan mencoba mengeksploitasi sistem yang bukan milik Anda tanpa izin.

File Snapshot

Remarks

1. It is advised to access via the original source first.

2. Local POC snapshots are reserved for subscribers — if the original source is unavailable, the local mirror is part of the paid plan.

View subscription plans →