Vulnerability Details CVE-2021-21390
MinIO is an open-source high performance object storage service and it is API compatible with Amazon S3 cloud storage service. In MinIO before version RELEASE.2021-03-17T02-33-02Z, there is a vulnerability which enables MITM modification of request bodies that are meant to have integrity guaranteed by chunk signatures. In a PUT request using aws-chunked encoding, MinIO ordinarily verifies signatures at the end of a chunk. This check can be skipped if the client sends a false chunk size that is much greater than the actual data sent: the server accepts and completes the request without ever reaching the end of the chunk + thereby without ever checking the chunk signature. This is fixed in version RELEASE.2021-03-17T02-33-02Z. As a workaround one can avoid using "aws-chunked" encoding-based chunk signature upload requests instead use TLS. MinIO SDKs automatically disable chunked encoding signature when the server endpoint is configured with TLS.
Exploit prediction scoring system (EPSS) score
EPSS Score 0.003
EPSS Ranking 49.7%
CVSS Severity
CVSS v3 Score 6.5
CVSS v2 Score 4.3
References
- https://github.com/minio/minio/commit/e197800f9055489415b53cf137e31e194aaf7ba0
- https://github.com/minio/minio/pull/11801
- https://github.com/minio/minio/security/advisories/GHSA-xr7r-7gpj-5pgp
- https://github.com/minio/minio/commit/e197800f9055489415b53cf137e31e194aaf7ba0
- https://github.com/minio/minio/pull/11801
- https://github.com/minio/minio/security/advisories/GHSA-xr7r-7gpj-5pgp
Products affected by CVE-2021-21390
-
cpe:2.3:a:minio:minio:2016-02-08t00-12-28z
-
cpe:2.3:a:minio:minio:2016-03-11t03-45-50z
-
cpe:2.3:a:minio:minio:2016-03-21t21-08-51z
-
cpe:2.3:a:minio:minio:2016-04-14t18-38-10z
-
cpe:2.3:a:minio:minio:2016-04-17t22-09-24z
-
cpe:2.3:a:minio:minio:2016-06-03t19-32-05z
-
cpe:2.3:a:minio:minio:2016-07-13t21-46-05z
-
cpe:2.3:a:minio:minio:2016-08-16t23-19-45z
-
cpe:2.3:a:minio:minio:2016-08-21t02-44-47z
-
cpe:2.3:a:minio:minio:2016-09-11t17-42-18z
-
cpe:2.3:a:minio:minio:2016-10-07t01-16-39z
-
cpe:2.3:a:minio:minio:2016-10-14t04-00-39z
-
cpe:2.3:a:minio:minio:2016-10-22t00-50-41z
-
cpe:2.3:a:minio:minio:2016-10-24t21-23-47z
-
cpe:2.3:a:minio:minio:2016-11-24t02-09-08z
-
cpe:2.3:a:minio:minio:2016-11-26t02-23-47z
-
cpe:2.3:a:minio:minio:2016-12-12t18-35-43z
-
cpe:2.3:a:minio:minio:2016-12-12t23-44-33z
-
cpe:2.3:a:minio:minio:2016-12-13t17-19-42z
-
cpe:2.3:a:minio:minio:2017-01-25t03-14-52z
-
cpe:2.3:a:minio:minio:2017-02-15t22-55-24z
-
cpe:2.3:a:minio:minio:2017-02-16t01-47-30z
-
cpe:2.3:a:minio:minio:2017-03-16t21-50-32z
-
cpe:2.3:a:minio:minio:2017-04-25t01-27-49z
-
cpe:2.3:a:minio:minio:2017-04-29t00-40-27z
-
cpe:2.3:a:minio:minio:2017-05-05t01-14-51z
-
cpe:2.3:a:minio:minio:2017-06-13t19-01-01z
-
cpe:2.3:a:minio:minio:2017-07-24t18-27-35z
-
cpe:2.3:a:minio:minio:2017-08-05t00-00-53z
-
cpe:2.3:a:minio:minio:2017-09-29t19-16-56z
-
cpe:2.3:a:minio:minio:2017-10-27t18-59-02z
-
cpe:2.3:a:minio:minio:2017-11-22t19-55-46z
-
cpe:2.3:a:minio:minio:2017-12-28t01-21-00z
-
cpe:2.3:a:minio:minio:2018-01-02t23-07-00z
-
cpe:2.3:a:minio:minio:2018-01-18t20-33-21z
-
cpe:2.3:a:minio:minio:2018-02-09t22-40-05z
-
cpe:2.3:a:minio:minio:2018-03-12t21-25-28z
-
cpe:2.3:a:minio:minio:2018-03-16t22-52-12z
-
cpe:2.3:a:minio:minio:2018-03-19t19-22-06z
-
cpe:2.3:a:minio:minio:2018-03-28t23-45-53z
-
cpe:2.3:a:minio:minio:2018-03-30t00-38-44z
-
cpe:2.3:a:minio:minio:2018-04-04t05-20-54z
-
cpe:2.3:a:minio:minio:2018-04-12t23-41-09z
-
cpe:2.3:a:minio:minio:2018-04-19t22-54-58z
-
cpe:2.3:a:minio:minio:2018-04-27t23-33-52z
-
cpe:2.3:a:minio:minio:2018-05-04t23-13-12z
-
cpe:2.3:a:minio:minio:2018-05-10t00-00-42z
-
cpe:2.3:a:minio:minio:2018-05-11t00-29-24z
-
cpe:2.3:a:minio:minio:2018-05-16t23-35-33z
-
cpe:2.3:a:minio:minio:2018-05-25t19-49-13z
-
cpe:2.3:a:minio:minio:2018-06-07t19-10-07z
-
cpe:2.3:a:minio:minio:2018-06-08t03-49-38z
-
cpe:2.3:a:minio:minio:2018-06-09t03-43-35z
-
cpe:2.3:a:minio:minio:2018-06-22t23-48-46z
-
cpe:2.3:a:minio:minio:2018-06-29t02-11-29z
-
cpe:2.3:a:minio:minio:2018-07-10t01-42-11z
-
cpe:2.3:a:minio:minio:2018-07-13t00-09-07z
-
cpe:2.3:a:minio:minio:2018-07-23t18-34-49z
-
cpe:2.3:a:minio:minio:2018-07-31t02-11-47z
-
cpe:2.3:a:minio:minio:2018-08-02t23-11-36z
-
cpe:2.3:a:minio:minio:2018-08-18t03-49-57z
-
cpe:2.3:a:minio:minio:2018-08-21t00-37-20z
-
cpe:2.3:a:minio:minio:2018-08-25t01-56-38z
-
cpe:2.3:a:minio:minio:2018-09-01t00-38-25z
-
cpe:2.3:a:minio:minio:2018-09-11t01-39-21z
-
cpe:2.3:a:minio:minio:2018-09-12t18-49-56z
-
cpe:2.3:a:minio:minio:2018-09-25t21-34-43z
-
cpe:2.3:a:minio:minio:2018-10-05t01-03-03z
-
cpe:2.3:a:minio:minio:2018-10-06t00-15-16z
-
cpe:2.3:a:minio:minio:2018-10-18t00-28-58z
-
cpe:2.3:a:minio:minio:2018-10-25t01-27-03z
-
cpe:2.3:a:minio:minio:2018-11-06t01-01-02z
-
cpe:2.3:a:minio:minio:2018-11-15t01-26-07z
-
cpe:2.3:a:minio:minio:2018-11-17t01-23-48z
-
cpe:2.3:a:minio:minio:2018-11-22t02-51-56z
-
cpe:2.3:a:minio:minio:2018-11-30t03-56-59z
-
cpe:2.3:a:minio:minio:2018-12-06t01-27-43z
-
cpe:2.3:a:minio:minio:2018-12-13t02-04-19z
-
cpe:2.3:a:minio:minio:2018-12-19t23-46-24z
-
cpe:2.3:a:minio:minio:2018-12-27t18-33-08z
-
cpe:2.3:a:minio:minio:2019-01-10t00-21-20z
-
cpe:2.3:a:minio:minio:2019-01-16t21-44-08z
-
cpe:2.3:a:minio:minio:2019-01-23t23-18-58z
-
cpe:2.3:a:minio:minio:2019-01-31t00-31-19z
-
cpe:2.3:a:minio:minio:2019-02-06t21-16-36z
-
cpe:2.3:a:minio:minio:2019-02-12t21-58-47z
-
cpe:2.3:a:minio:minio:2019-02-14t00-21-45z
-
cpe:2.3:a:minio:minio:2019-02-20t22-44-29z
-
cpe:2.3:a:minio:minio:2019-02-26t19-51-46z
-
cpe:2.3:a:minio:minio:2019-03-06t22-47-10z
-
cpe:2.3:a:minio:minio:2019-03-13t21-59-47z
-
cpe:2.3:a:minio:minio:2019-03-20t22-38-47z
-
cpe:2.3:a:minio:minio:2019-03-27t22-35-21z
-
cpe:2.3:a:minio:minio:2019-04-04t18-31-46z
-
cpe:2.3:a:minio:minio:2019-04-09t01-22-30z
-
cpe:2.3:a:minio:minio:2019-04-18t01-15-57z
-
cpe:2.3:a:minio:minio:2019-04-18t21-44-59z
-
cpe:2.3:a:minio:minio:2019-04-23t23-50-36z
-
cpe:2.3:a:minio:minio:2019-05-02t19-07-09z
-
cpe:2.3:a:minio:minio:2019-05-14t23-57-45z
-
cpe:2.3:a:minio:minio:2019-05-23t00-29-34z
-
cpe:2.3:a:minio:minio:2019-06-01t03-46-14z
-
cpe:2.3:a:minio:minio:2019-06-04t01-15-58z
-
cpe:2.3:a:minio:minio:2019-06-11t00-44-33z
-
cpe:2.3:a:minio:minio:2019-06-13t01-41-13z
-
cpe:2.3:a:minio:minio:2019-06-15t23-07-18z
-
cpe:2.3:a:minio:minio:2019-06-19t18-24-42z
-
cpe:2.3:a:minio:minio:2019-06-27t21-13-50z
-
cpe:2.3:a:minio:minio:2019-07-05t21-20-21z
-
cpe:2.3:a:minio:minio:2019-07-10t00-34-56z
-
cpe:2.3:a:minio:minio:2019-07-17t22-54-12z
-
cpe:2.3:a:minio:minio:2019-07-24t02-02-23z
-
cpe:2.3:a:minio:minio:2019-07-31t18-57-56z
-
cpe:2.3:a:minio:minio:2019-08-01t22-18-54z
-
cpe:2.3:a:minio:minio:2019-08-07t01-59-21z
-
cpe:2.3:a:minio:minio:2019-08-14t20-37-41z
-
cpe:2.3:a:minio:minio:2019-08-21t19-40-07z
-
cpe:2.3:a:minio:minio:2019-08-29t00-25-01z
-
cpe:2.3:a:minio:minio:2019-09-05t23-24-38z
-
cpe:2.3:a:minio:minio:2019-09-11t19-53-16z
-
cpe:2.3:a:minio:minio:2019-09-18t21-55-05z
-
cpe:2.3:a:minio:minio:2019-09-25t18-25-51z
-
cpe:2.3:a:minio:minio:2019-09-26t19-42-35z
-
cpe:2.3:a:minio:minio:2019-10-02t21-19-38z
-
cpe:2.3:a:minio:minio:2019-10-11t00-38-09z
-
cpe:2.3:a:minio:minio:2019-10-12t01-39-57z
-
cpe:2.3:a:minio:minio:2019-12-17t23-16-33z
-
cpe:2.3:a:minio:minio:2019-12-19t22-52-26z
-
cpe:2.3:a:minio:minio:2019-12-24t23-04-45z
-
cpe:2.3:a:minio:minio:2019-12-30t05-45-39z
-
cpe:2.3:a:minio:minio:2020-01-03t19-12-21z
-
cpe:2.3:a:minio:minio:2020-01-16t03-05-44z
-
cpe:2.3:a:minio:minio:2020-01-16t22-40-29z
-
cpe:2.3:a:minio:minio:2020-01-25t02-50-51z
-
cpe:2.3:a:minio:minio:2020-02-07t04-56-50z
-
cpe:2.3:a:minio:minio:2020-02-07t23-28-16z
-
cpe:2.3:a:minio:minio:2020-02-20t22-23-05z
-
cpe:2.3:a:minio:minio:2020-02-27t00-23-05z
-
cpe:2.3:a:minio:minio:2020-03-05t01-04-19z
-
cpe:2.3:a:minio:minio:2020-03-06t22-23-56z
-
cpe:2.3:a:minio:minio:2020-03-09t18-26-53z
-
cpe:2.3:a:minio:minio:2020-03-14t02-21-58z
-
cpe:2.3:a:minio:minio:2020-03-19t21-49-00z
-
cpe:2.3:a:minio:minio:2020-03-25t07-03-04z
-
cpe:2.3:a:minio:minio:2020-04-02t21-34-49z
-
cpe:2.3:a:minio:minio:2020-04-04t05-39-31z
-
cpe:2.3:a:minio:minio:2020-04-10t03-34-42z
-
cpe:2.3:a:minio:minio:2020-04-15t00-39-01z
-
cpe:2.3:a:minio:minio:2020-04-15t19-42-18z
-
cpe:2.3:a:minio:minio:2020-04-22t00-11-12z
-
cpe:2.3:a:minio:minio:2020-04-23t00-58-49z
-
cpe:2.3:a:minio:minio:2020-04-28t23-56-56z
-
cpe:2.3:a:minio:minio:2020-05-01t22-19-14z
-
cpe:2.3:a:minio:minio:2020-05-06t23-23-25z
-
cpe:2.3:a:minio:minio:2020-05-08t02-40-49z
-
cpe:2.3:a:minio:minio:2020-05-16t01-33-21z
-
cpe:2.3:a:minio:minio:2020-05-28t23-29-21z
-
cpe:2.3:a:minio:minio:2020-05-29t14-08-49z
-
cpe:2.3:a:minio:minio:2020-06-01t17-28-03z
-
cpe:2.3:a:minio:minio:2020-06-03t22-13-49z
-
cpe:2.3:a:minio:minio:2020-06-12t00-06-19z
-
cpe:2.3:a:minio:minio:2020-06-14t18-32-17z
-
cpe:2.3:a:minio:minio:2020-06-18t02-23-35z
-
cpe:2.3:a:minio:minio:2020-06-22t03-12-50z
-
cpe:2.3:a:minio:minio:2020-07-02t00-15-09z
-
cpe:2.3:a:minio:minio:2020-07-11t06-07-16z
-
cpe:2.3:a:minio:minio:2020-07-11t21-14-23z
-
cpe:2.3:a:minio:minio:2020-07-12t19-14-17z
-
cpe:2.3:a:minio:minio:2020-07-13t18-09-56z
-
cpe:2.3:a:minio:minio:2020-07-14t19-14-30z
-
cpe:2.3:a:minio:minio:2020-07-18t18-48-16z
-
cpe:2.3:a:minio:minio:2020-07-20t02-25-16z
-
cpe:2.3:a:minio:minio:2020-07-22t00-26-33z
-
cpe:2.3:a:minio:minio:2020-07-24t22-43-05z
-
cpe:2.3:a:minio:minio:2020-07-27t18-37-02z
-
cpe:2.3:a:minio:minio:2020-07-31t03-39-05z
-
cpe:2.3:a:minio:minio:2020-08-04t23-10-51z
-
cpe:2.3:a:minio:minio:2020-08-05t21-34-13z
-
cpe:2.3:a:minio:minio:2020-08-07t01-23-07z
-
cpe:2.3:a:minio:minio:2020-08-08t04-50-06z
-
cpe:2.3:a:minio:minio:2020-08-13t02-39-50z
-
cpe:2.3:a:minio:minio:2020-08-16t18-39-38z
-
cpe:2.3:a:minio:minio:2020-08-18t19-41-00z
-
cpe:2.3:a:minio:minio:2020-08-25t00-21-20z
-
cpe:2.3:a:minio:minio:2020-08-26t00-00-49z
-
cpe:2.3:a:minio:minio:2020-08-27t05-16-20z
-
cpe:2.3:a:minio:minio:2020-09-02t18-19-50z
-
cpe:2.3:a:minio:minio:2020-09-05t07-14-49z
-
cpe:2.3:a:minio:minio:2020-09-08t23-05-18z
-
cpe:2.3:a:minio:minio:2020-09-10t22-02-45z
-
cpe:2.3:a:minio:minio:2020-09-16t04-22-35z
-
cpe:2.3:a:minio:minio:2020-09-17t04-49-20z
-
cpe:2.3:a:minio:minio:2020-09-21t22-31-59z
-
cpe:2.3:a:minio:minio:2020-09-23t19-18-30z
-
cpe:2.3:a:minio:minio:2020-09-26t03-44-56z
-
cpe:2.3:a:minio:minio:2020-10-03t02-19-42z
-
cpe:2.3:a:minio:minio:2020-10-09t22-55-05z
-
cpe:2.3:a:minio:minio:2020-10-12t21-53-21z
-
cpe:2.3:a:minio:minio:2020-10-18t21-54-12z
-
cpe:2.3:a:minio:minio:2020-10-27t04-03-55z
-
cpe:2.3:a:minio:minio:2020-10-28t08-16-50z
-
cpe:2.3:a:minio:minio:2020-11-06t23-17-07z
-
cpe:2.3:a:minio:minio:2020-11-10t21-02-24z
-
cpe:2.3:a:minio:minio:2020-11-12t22-33-34z
-
cpe:2.3:a:minio:minio:2020-11-13t20-10-18z
-
cpe:2.3:a:minio:minio:2020-11-19t23-48-16z
-
cpe:2.3:a:minio:minio:2020-11-25t22-36-25z
-
cpe:2.3:a:minio:minio:2020-12-03t00-03-10z
-
cpe:2.3:a:minio:minio:2020-12-03t05-49-24z
-
cpe:2.3:a:minio:minio:2020-12-10t01-54-29z
-
cpe:2.3:a:minio:minio:2020-12-12t08-39-07z
-
cpe:2.3:a:minio:minio:2020-12-16t05-05-17z
-
cpe:2.3:a:minio:minio:2020-12-18t03-27-42z
-
cpe:2.3:a:minio:minio:2020-12-23t02-24-12z
-
cpe:2.3:a:minio:minio:2020-12-26t01-35-54z
-
cpe:2.3:a:minio:minio:2020-12-29t23-29-29z
-
cpe:2.3:a:minio:minio:2021-01-05t05-22-38z
-
cpe:2.3:a:minio:minio:2021-01-08t21-18-21z
-
cpe:2.3:a:minio:minio:2021-01-16t02-19-44z
-
cpe:2.3:a:minio:minio:2021-01-30t00-20-58z
-
cpe:2.3:a:minio:minio:2021-02-01t22-56-52z
-
cpe:2.3:a:minio:minio:2021-02-07t01-31-02z
-
cpe:2.3:a:minio:minio:2021-02-11t08-23-43z
-
cpe:2.3:a:minio:minio:2021-02-14t04-01-33z
-
cpe:2.3:a:minio:minio:2021-02-19t04-38-02z
-
cpe:2.3:a:minio:minio:2021-02-23t20-05-01z
-
cpe:2.3:a:minio:minio:2021-02-24t18-44-45z
-
cpe:2.3:a:minio:minio:2021-03-01t04-20-55z
-
cpe:2.3:a:minio:minio:2021-03-04t00-53-13z
-
cpe:2.3:a:minio:minio:2021-03-10t05-11-33z
-
cpe:2.3:a:minio:minio:2021-03-12t00-00-47z