CVE-2025-62506

Résumé

MinIO est un système de stockage d'objets haute performance. Dans toutes les versions antérieures à RELEASE.2025-10-15T17-29-55Z, une vulnérabilité d'élévation de privilèges permet aux comptes de service et aux comptes STS (Security Token Service) dotés de politiques de session restreintes de contourner les restrictions de leur politique intégrée lors d'opérations effectuées sur leur propre compte, notamment lors de la création de nouveaux comptes de service pour le même utilisateur. La vulnérabilité réside dans la logique de validation des politiques IAM, où le code s'appuyait à tort sur l'argument DenyOnly lors de la validation des politiques de session pour les comptes restreints. Lorsqu'une politique de session est présente, le système doit vérifier que l'action est autorisée par la politique de session, et non pas seulement qu'elle n'est pas refusée. Un attaquant disposant d'identifiants valides pour un compte de service ou STS restreint peut créer un nouveau compte de service pour lui-même sans restrictions de politique, ce qui donne un nouveau compte de service disposant de tous les privilèges parent au lieu d'être limité par la politique intégrée. Cela permet à l'attaquant d'accéder à des buckets et à des objets au-delà de ses restrictions prévues, ainsi que de modifier, supprimer ou créer des objets en dehors de son périmètre autorisé. La vulnérabilité est corrigée dans la version RELEASE.2025-10-15T17-29-55Z.

• CVE-2025-62506PoC

  Script de vérification pour CVE-2025-62506, une vulnérabilité d'élévation de privilèges dans les comptes de service MinIO, testant si des comptes restreints peuvent contourner les politiques intégrées pour créer des comptes sans restriction.