Minder 是一个软件供应链安全平台。在版本 0.0.49 之前，Minder REST 摄取器容易受到拒绝服务攻击，攻击者可以通过控制的 REST 端点来崩溃 Minder 服务器。REST 摄取器允许用户与 REST 端点交互，以获取规则评估的数据。在使用 REST 摄取器获取数据时，Minder 会向端点发送请求，并将响应体中的数据用作要针对某个规则进行评估的数据。如果响应足够大，它可能会耗尽机器上的内存并导致 Minder 服务器崩溃。攻击者可以控制 Minder 发送请求的远程 REST 端点，并且可以配置远程 REST 端点以返回大量的响应体。然后，他们将指示 Minder 发送请求到其配置的端点，该请求将返回大量响应，导致 Minder 服务器崩溃。版本 0.0.49 修复了此问题。
漏洞概览
- CVE 编号
- CVE-2024-35185
- 文章标题
- CVE-2024-35185 Minder REST 摄取器拒绝服务漏洞
- 影响产品或组件
- 未命名漏洞案例
- 漏洞类型
- 以原文描述为准，未单独列出 CWE
- 原文字符数
- 1355
- 资料核验日期
- 2026-09-18
安全风险等级评估
基础分数 风险等级 可利用性评分 5.3 MEDIUM CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H 5.3 MEDIUM CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H
影响范围与修复版本
| 产品或分支 | 受影响范围 | 历史修复边界或说明 |
|---|---|---|
| 未命名漏洞案例 | 原文未明确列出具体版本范围 | 需按厂商公告与产品矩阵核对 |
原文未提供单独的影响范围段落。
漏洞详情
漏洞机制
Minder 是一个软件供应链安全平台。在版本 0.0.49 之前，Minder REST 摄取器容易受到拒绝服务攻击，攻击者可以通过控制的 REST 端点来崩溃 Minder 服务器。REST 摄取器允许用户与 REST 端点交互，以获取规则评估的数据。在使用 REST 摄取器获取数据时，Minder 会向端点发送请求，并将响应体中的数据用作要针对某个规则进行评估的数据。如果响应足够大，它可能会耗尽机器上的内存并导致 Minder 服务器崩溃。攻击者可以控制 Minder 发送请求的远程 REST 端点，并且可以配置远程 REST 端点以返回大量的响应体。然后，他们将指示 Minder 发送请求到其配置的端点，该请求将返回大量响应，导致 Minder 服务器崩溃。版本 0.0.49 修复了此问题。
触发条件与权限边界
CVSS scores for CVE-2024-35185: https://github.com/stacklok/minder/security/advisories/GHSA-fjw8-3gp8-4cvx CWE ids for CVE-2024-35185: https://github.com/stacklok/minder/commit/065049336aac0621ee00a0bb2211f8051d47c14b
场景与影响
CVSS scores for CVE-2024-35185: https://github.com/stacklok/minder/security/advisories/GHSA-fjw8-3gp8-4cvx CWE ids for CVE-2024-35185: https://github.com/stacklok/minder/commit/065049336aac0621ee00a0bb2211f8051d47c14b
检测与排查
资产、配置与日志核查
围绕 CVE-2024-35185 盘点实际资产、软件包或插件版本、启用组件、访问入口和相关日志；修复后回读运行版本与补丁状态，复核业务功能、访问控制和异常进程。不要在生产环境通过投递恶意样本或反复认证失败来验证漏洞。原文技术细节已保留在“漏洞详情”中，需按厂商公告进一步核对。
防范措施与修复验证
修复与缓解
Minder 是一个软件供应链安全平台。在版本 0.0.49 之前，Minder REST 摄取器容易受到拒绝服务攻击，攻击者可以通过控制的 REST 端点来崩溃 Minder 服务器。REST 摄取器允许用户与 REST 端点交互，以获取规则评估的数据。在使用 REST 摄取器获取数据时，Minder 会向端点发送请求，并将响应体中的数据用作要针对某个规则进行评估的数据。如果响应足够大，它可能会耗尽机器上的内存并导致 Minder 服务器崩溃。攻击者可以控制 Minder 发送请求的远程 REST 端点，并且可以配置远程 REST 端点以返回大量的响应体。然后，他们将指示 Minder 发送请求到其配置的端点，该请求将返回大量响应，导致 Minder 服务器崩溃。版本 0.0.49 修复了此问题。
修复后的验证
完成变更后回读 未命名漏洞案例 的实际版本、补丁和配置，确认已落在厂商修复范围；需要重启的服务应验证重启结果，再检查相关业务功能、访问控制与日志。临时缓解应单独标注并跟踪正式修复。
参考来源
英文技术描述已按原文语义整理为中文，产品名、协议名、版本号、命令、路径和官方链接予以保留。涉及多 CVE 的文章维持为一篇，不拆分原文章。
暂无评论内容