CVE-2025-62506

Zusammenfassung

MinIO ist ein Hochleistungs-Objektspeichersystem. In allen Versionen vor RELEASE.2025-10-15T17-29-55Z ermöglicht eine Privilegienausweitungsschwachstelle Dienstkonten und STS-Konten (Security Token Service) mit eingeschränkten Sitzungsrichtlinien, ihre Inline-Richtlinieneinschränkungen zu umgehen, wenn sie Operationen an ihrem eigenen Konto durchführen, insbesondere beim Erstellen neuer Dienstkonten für denselben Benutzer. Die Schwachstelle existiert in der IAM-Richtlinienvalidierungslogik, wo der Code fälschlicherweise beim Validieren von Sitzungsrichtlinien für eingeschränkte Konten auf das DenyOnly-Argument vertraute. Wenn eine Sitzungsrichtlinie vorhanden ist, sollte das System validieren, dass die Aktion durch die Sitzungsrichtlinie erlaubt ist, nicht nur, dass sie nicht verweigert wird. Ein Angreifer mit gültigen Anmeldeinformationen für ein eingeschränktes Dienst- oder STS-Konto kann ein neues Dienstkonto für sich selbst ohne Richtlinieneinschränkungen erstellen, was zu einem neuen Dienstkonto mit vollständigen übergeordneten Berechtigungen führt, anstatt durch die Inline-Richtlinie eingeschränkt zu sein. Dies ermöglicht es dem Angreifer, auf Buckets und Objekte über ihre beabsichtigten Einschränkungen hinaus zuzugreifen und Objekte außerhalb ihres autorisierten Bereichs zu ändern, zu löschen oder zu erstellen. Die Schwachstelle ist in Version RELEASE.2025-10-15T17-29-55Z behoben.

• CVE-2025-62506PoC

  Verifikationsskript für CVE-2025-62506, eine Privilege-Escalation-Schwachstelle in MinIO-Dienstkonten, das testet, ob eingeschränkte Konten Inline-Richtlinien umgehen können, um uneingeschränkte Konten zu erstellen.