云存储利用越权接见和文件上传缝隙安全公告

颁布功夫 2019-11-18

缝隙编号和级别


CVE编号：暂无，，，，，危险级别：高危，，，，，CVSS分值：官方未评定


影响领域


据统计，，，，，使用国内主流厂商云存储服务的安卓APP数量为4148个。。。。。抽样检测了局显示，，，，，受此缝隙影响的利用比例达70%。。。。。


缝隙概述


云存储是云推算基础上延长和衍生发展出来的新概想，，，，，综合选取散布式处置、并行处置和网格推算等伎俩，，，，，将网络中分歧类型的存储设备通过利用软件集中起来协同工作，，，，，对表提供统一的数据存储和业务接见职能。。。。。云存储在移动APP、网页版法式、APP幼法式（以下简称云存储利用）等场景得到了宽泛利用。。。。。用户接见云存储数据时，，，，，进行署名要求的密钥有永约钥和一时密钥两种方式。。。。。


云存储利用由于配置不当，，，，，存在越权接见和文件上传缝隙：使用一时密钥进行文件上传的云存储利用，，，，，不足对文件（存储桶）接见或上传蹊径（存储桶）的权限限度，，，，，导致文件（存储桶）越权接见或文件上传缝隙 ；；；；；；；；使用永约钥为文件上传要求署名的云存储利用，，，，，不足对永约钥的必要� ；；；；；；；；�，，，，，产生肆意蹊径文件（存储桶）的越权接见和文件上传缝隙。。。。。攻击者利用上述缝隙，，，，，通过云存储利用破解或网络抓包获得永约钥或一时密钥，，，，，实现对云存储中的文件数据的窃取，，，，，甚至篡改用户保留在云存储中的数据文件。。。。。


缝隙验证


暂无EXP/POC。。。。。


建复建议


目前官方尚未颁布缝隙建复补丁。。。。。


一时建复建议：


建议云存储利用开发者选取如下方式建复缝隙：


1、选取一时署名上传文件的云存储利用：凭据业务场景将服务端天生的一时密钥权限更新至最幼，，，，，限造文件的上传蹊径和上传的指标存储桶，，，，，去除读文件、列存储桶、列对象、覆盖文件等非业务必要权限。。。。。


2、选取永约钥署名上传文件的云存储利用：更新客户端和服务端上传逻辑，，，，，改为用最幼权限的一时密钥方式或者PUT方式进行上传。。。。。


参考链接


https://www.cnvd.org.cn/webinfo/show/5291