CVE-2025-62506

सारांश

MinIO एक उच्च-प्रदर्शन ऑब्जेक्ट स्टोरेज सिस्टम है। RELEASE.2025-10-15T17-29-55Z से पहले के सभी संस्करणों में, एक विशेषाधिकार वृद्धि भेद्यता (privilege escalation vulnerability) मौजूद है, जो प्रतिबंधित सत्र नीतियों (restricted session policies) वाले सेवा खातों (service accounts) और STS (Security Token Service) खातों को अपने स्वयं के खाते पर संचालन करते समय, विशेष रूप से उसी उपयोगकर्ता के लिए नए सेवा खाते बनाते समय, अपनी इनलाइन नीति प्रतिबंधों (inline policy restrictions) को बायपास करने की अनुमति देती है। यह भेद्यता IAM नीति सत्यापन तर्क (IAM policy validation logic) में मौजूद है, जहाँ कोड प्रतिबंधित खातों के लिए सत्र नीतियों को सत्यापित करते समय गलत तरीके से DenyOnly तर्क पर निर्भर करता था। जब कोई सत्र नीति मौजूद होती है, तो सिस्टम को यह सत्यापित करना चाहिए कि क्रिया सत्र नीति द्वारा अनुमत है, न कि केवल यह कि वह अस्वीकृत नहीं है। प्रतिबंधित सेवा या STS खाते के लिए वैध क्रेडेंशियल रखने वाला हमलावर बिना नीति प्रतिबंधों के अपने लिए एक नया सेवा खाता बना सकता है, जिसके परिणामस्वरूप इनलाइन नीति द्वारा प्रतिबंधित होने के बजाय नया सेवा खाता पूर्ण मूल विशेषाधिकारों (full parent privileges) के साथ बनता है। यह हमलावर को अपने इच्छित प्रतिबंधों से परे बकेट और ऑब्जेक्ट तक पहुँचने तथा अपने अधिकृत दायरे से बाहर ऑब्जेक्ट को संशोधित, हटाने या बनाने की अनुमति देता है। यह भेद्यता संस्करण RELEASE.2025-10-15T17-29-55Z में ठीक कर दी गई है।

• CVE-2025-62506PoC

  CVE-2025-62506 के लिए सत्यापन स्क्रिप्ट, जो MinIO सेवा खातों में एक विशेषाधिकार वृद्धि भेद्यता है, यह परीक्षण करती है कि क्या प्रतिबंधित खाते इनलाइन नीतियों को बायपास करके अप्रतिबंधित खाते बना सकते हैं।