云存储利用越权接见和文件上传缝隙安全公告

颁布功夫 2019-11-18

缝隙编号和级别


CVE编号：暂无，，危险级别：高危，，CVSS分值：官方未评定


影响领域


据统计，，使用国内主流厂商云存储服务的安卓APP数量为4148个。。。抽样检测了局显示，，受此缝隙影响的利用比例达70%。。。


缝隙概述


云存储是云推算基础上延长和衍生发展出来的新概念，，综合选取散布式处置、 、、并行处置和网格推算等伎俩，，将网络中分歧类型的存储设备通过利用软件集中起来协同工作，，对外提供统一的数据存储和业务接见职能。。。云存储在移动APP、 、、网页版法式、 、、APP小法式（以下简称云存储利用）等场景得到了宽泛利用。。。用户接见云存储数据时，，进行署名要求的密钥有永远密钥和一时密钥两种方式。。。


云存储利用由于配置不当，，存在越权接见和文件上传缝隙：使用一时密钥进行文件上传的云存储利用，，不足对文件（存储桶）接见或上传蹊径（存储桶）的权限限度，，导致文件（存储桶）越权接见或文件上传缝隙；；使用永远密钥为文件上传要求署名的云存储利用，，不足对永远密钥的必要�；；�，，产生肆意蹊径文件（存储桶）的越权接见和文件上传缝隙。。。攻击者利用上述缝隙，，通过云存储利用破解或网络抓包获得永远密钥或一时密钥，，实现对云存储中的文件数据的窃取，，甚至篡改用户保留在云存储中的数据文件。。。


缝隙验证


暂无EXP/POC。。。


修复建议


目前官方尚未颁布缝隙修复补丁。。。


一时修复建议：


建议云存储利用开发者选取如下方式修复缝隙：


1、 、、选取一时署名上传文件的云存储利用：凭据业务场景将服务端天生的一时密钥权限更新至最小，，限定文件的上传蹊径和上传的指标存储桶，，去除读文件、 、、列存储桶、 、、列对象、 、、覆盖文件等非业务必要权限。。。


2、 、、选取永远密钥署名上传文件的云存储利用：更新客户端和服务端上传逻辑，，改为用最小权限的一时密钥方式或者PUT方式进行上传。。。


参考链接


https://www.cnvd.org.cn/webinfo/show/5291