CVE-2025-62506 भेद्यता सत्यापन स्क्रिप्ट

अवलोकन

इस रिपॉजिटरी में CVE-2025-62506 के लिए एक सत्यापन स्क्रिप्ट शामिल है, जो MinIO सेवा खातों और STS (सुरक्षा टोकन सेवा) खातों में एक विशेषाधिकार वृद्धि भेद्यता है।

भेद्यता विवरण

CVE-2025-62506 एक विशेषाधिकार वृद्धि भेद्यता है जो प्रतिबंधित सेवा खातों और STS खातों को "स्वयं" खाता संचालन करते समय अपनी इनलाइन नीति प्रतिबंधों को बायपास करने की अनुमति देती है, विशेष रूप से उसी उपयोगकर्ता के लिए नए सेवा खाते बनाते समय।

तकनीकी विवरण

यह भेद्यता cmd/iam.go में IAM नीति सत्यापन तर्क में मौजूद है। प्रतिबंधित खातों के लिए सत्र नीतियों को सत्यापित करते समय जो अपने स्वयं के खाते पर संचालन कर रहे हैं (जैसे सेवा खाते बनाना), कोड गलत तरीके से DenyOnly तर्क पर निर्भर था।

DenyOnly फ्लैग का उपयोग खातों को अपने स्वयं के खाते से संबंधित क्रियाएं करने की अनुमति देने के लिए किया जाता है, केवल यह जांच कर कि क्रिया स्पष्ट रूप से अस्वीकृत है या नहीं। हालांकि, जब एक सत्र नीति (उप-नीति) मौजूद होती है, तो सिस्टम को यह सत्यापित करना चाहिए कि क्रिया वास्तव में सत्र नीति द्वारा अनुमत है, न कि केवल यह कि यह अस्वीकृत नहीं है।

हमला परिदृश्य

एक व्यवस्थापक प्रतिबंधित इनलाइन नीति के साथ एक सेवा खाता या STS खाता बनाता है (जैसे, केवल bucket1 और bucket2 तक पहुंच)
प्रतिबंधित खाता बिना किसी नीति प्रतिबंध निर्दिष्ट किए अपने लिए एक नया सेवा खाता बनाने का प्रयास करता है
बायपास के कारण, नया सेवा खाता इनलाइन नीति द्वारा प्रतिबंधित होने के बजाय पूर्ण मूल विशेषाधिकारों के साथ बनाया जाता है
हमलावर के पास अब इच्छित प्रतिबंधों से परे बढ़े हुए विशेषाधिकार हैं

प्रभाव

हमला जटिलता: कम - शोषण के लिए केवल प्रतिबंधित सेवा/STS खाते के लिए मान्य क्रेडेंशियल की आवश्यकता होती है
गोपनीयता: उच्च - हमलावर अपने इच्छित प्रतिबंधों से परे बकेट और ऑब्जेक्ट तक पहुंच सकते हैं
अखंडता: उच्च - हमलावर अपने अधिकृत दायरे से बाहर ऑब्जेक्ट संशोधित, हटा या बना सकते हैं
उपलब्धता: कोई नहीं - सेवा उपलब्धता को सीधे प्रभावित नहीं करता

CVSS स्कोर

8.1 (उच्च) - CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

प्रभावित संस्करण

RELEASE.2025-10-15T17-29-55Z से पहले के सभी संस्करण

स्थिर संस्करण

RELEASE.2025-10-15T17-29-55Z

संदर्भ

सत्यापन स्क्रिप्ट

verify_cve_2025_62506.py स्क्रिप्ट जांचती है कि आपका MinIO इंस्टॉलेशन CVE-2025-62506 के प्रति संवेदनशील है या नहीं।

पूर्वापेक्षाएँ

Python 3.7+
MinIO सर्वर चालू (प्रदान की गई docker-compose.yml के साथ शुरू किया जा सकता है)
आवश्यक Python पैकेज: minio

स्थापना

MinIO सर्वर शुरू करें:

docker-compose up -d

निर्भरताएँ स्थापित करें:

pip install minio

स्क्रिप्ट कार्यप्रवाह

सत्यापन स्क्रिप्ट निम्नलिखित चरणों का पालन करती है:

चरण 1: परीक्षण बकेट बनाएं

तीन परीक्षण बकेट बनाता है: bucket1, bucket2, bucket3
इन बकेट का उपयोग खाता पहुंच अनुमति प्रतिबंधों का परीक्षण करने के लिए किया जाता है

चरण 2: प्रतिबंधित नीति बनाएं

एक IAM नीति बनाता है जो केवल bucket1 और bucket2 तक पहुंच की अनुमति देती है
नीति विवरण:
- अनुमत क्रियाएँ: s3:* (सभी S3 संचालन)
- अनुमत संसाधन: bucket1/*, bucket2/*
- अस्वीकृत संसाधन: अन्य सभी बकेट (bucket3 सहित)

चरण 3: प्रतिबंधित सेवा खाता बनाएं

प्रतिबंधित नीति को इनलाइन नीति के रूप में लागू करके एक सेवा खाता बनाता है
खाता विवरण:
- एक्सेस कुंजी: restricted
- गुप्त कुंजी: restricted123
- नीति: इनलाइन प्रतिबंधित नीति (केवल bucket1 और bucket2)
- अपेक्षित व्यवहार: केवल निर्दिष्ट बकेट तक पहुंच सकता है

चरण 4: प्रतिबंधित खाता पहुंच का परीक्षण करें

बकेट सूचीबद्ध करने के लिए प्रतिबंधित खाते का उपयोग करता है
सत्यापित करता है कि अनुमतियाँ ठीक से प्रतिबंधित हैं
अपेक्षित परिणाम: केवल bucket1 और bucket2 देख सकता है

चरण 5: विशेषाधिकार वृद्धि का प्रयास करें (भेद्यता परीक्षण)

नया सेवा खाता बनाने का प्रयास करने के लिए प्रतिबंधित खाते का उपयोग करता है
नया खाता बिना नीति निर्दिष्ट किए बनाया जाता है (मूल प्रतिबंधों को विरासत में लेना चाहिए)
भेद्यता परीक्षण: यदि निर्माण सफल होता है, तो अनधिकृत संसाधनों (bucket3) तक पहुंचने के लिए नए खाते का उपयोग करने का प्रयास करता है
सुरक्षित व्यवहार: निर्माण अनुमति अस्वीकृत त्रुटि के साथ विफल होना चाहिए

सफाई

सभी परीक्षण सेवा खातों को हटाता है
परीक्षण नीति को हटाता है
सभी परीक्षण बकेट और उनकी सामग्री को हटाता है

उपयोग

सुनिश्चित करें कि MinIO चालू है:

docker-compose up -d

सत्यापन स्क्रिप्ट चलाएं:

python verify_cve_2025_62506.py

अपेक्षित आउटपुट

संवेदनशील सिस्टम

🚀 CVE-2025-62506 भेद्यता सत्यापन स्क्रिप्ट
============================================================
📋 स्क्रिप्ट विवरण:
   यह स्क्रिप्ट MinIO सेवा खाता विशेषाधिकार वृद्धि भेद्यता (CVE-2025-62506) का परीक्षण करती है
   यह भेद्यता प्रतिबंधित सेवा खातों को नए खाते बनाते समय इनलाइन नीतियों को बायपास करने की अनुमति देती है
============================================================

📦 चरण 1: परीक्षण बकेट बनाएं
   तीन परीक्षण बकेट बनाना: bucket1, bucket2, bucket3
   खाता पहुंच अनुमति प्रतिबंधों का परीक्षण करने के लिए उपयोग किया जाता है
----------------------------------------
   ✅ बकेट बनाया गया: bucket1
   ✅ बकेट बनाया गया: bucket2
   ✅ बकेट बनाया गया: bucket3

🔒 चरण 2: प्रतिबंधित नीति बनाएं
   एक नीति बनाना जो केवल bucket1 और bucket2 तक पहुंच की अनुमति देती है
   यह नीति प्रतिबंधित सेवा खाते पर लागू की जाएगी
----------------------------------------
   ✅ नीति बनाई गई: restricted-policy
   📋 नीति अनुमतियाँ:
      - अनुमत क्रियाएँ: s3:* (सभी S3 संचालन)
      - अनुमत संसाधन: bucket1/*, bucket2/*
      - अस्वीकृत संसाधन: अन्य सभी बकेट

👤 चरण 3: प्रतिबंधित सेवा खाता बनाएं
   उपरोक्त प्रतिबंधित नीति के साथ एक सेवा खाता बनाना
   यह खाता केवल bucket1 और bucket2 तक पहुंच सकता है
----------------------------------------
   ✅ सेवा खाता बनाया गया: restricted
   📋 खाता अनुमतियाँ:
      - एक्सेस कुंजी: restricted
      - नीति: इनलाइन प्रतिबंधित नीति (केवल bucket1 और bucket2)
      - अपेक्षित व्यवहार: केवल निर्दिष्ट बकेट तक पहुंच सकता है

🧪 चरण 4: प्रतिबंधित खाता पहुंच का परीक्षण करें
   बकेट सूचीबद्ध करने के लिए प्रतिबंधित खाते का उपयोग करना, अनुमतियों की पुष्टि करना
   अपेक्षित परिणाम: केवल bucket1 और bucket2 देख सकता है
----------------------------------------
   ✅ प्रतिबंधित खाता सही ढंग से अनुमत बकेट तक सीमित है
      सुलभ बकेट: ['bucket1', 'bucket2']

⚡ चरण 5: विशेषाधिकार वृद्धि का प्रयास करें (भेद्यता परीक्षण)
   नया सेवा खाता बनाने का प्रयास करने के लिए प्रतिबंधित खाते का उपयोग करना
   बिना निर्दिष्ट नीति वाला नया खाता मूल प्रतिबंधों को विरासत में लेना चाहिए
   भेद्यता: प्रतिबंधित खाता नीति को बायपास करके अप्रतिबंधित नए खाते बना सकता है
----------------------------------------
   ✅ सेवा खाता बनाया गया: newroot
   📋 अनधिकृत bucket3 तक पहुंचने के लिए नए सेवा खाते का उपयोग करने का प्रयास
   ⬆️ अनुमतियों को सत्यापित करने के लिए bucket3 में ऑब्जेक्ट अपलोड करने का प्रयास
   ⬇️ अनुमतियों को सत्यापित करने के लिए ऑब्जेक्ट सूचीबद्ध करने का प्रयास
      ऑब्जेक्ट मिला: test-object
   ❌ संवेदनशील: प्रतिबंधित खाते ने सफलतापूर्वक नया सेवा खाता बनाया
      नए खाते की अनुमतियाँ: अप्रतिबंधित (पूर्ण मूल अनुमतियाँ विरासत में मिलीं)
      यह इंगित करता है कि CVE-2025-62506 भेद्यता मौजूद है!

🧹 परीक्षण संसाधनों की सफाई...
----------------------------------------
   ✅ सेवा खाता हटाया गया: restricted
   ✅ सेवा खाता हटाया गया: newroot
   ✅ नीति हटाई गई: restricted-policy
   ✅ बकेट हटाया गया: bucket1
   ✅ बकेट हटाया गया: bucket2
   ✅ बकेट हटाया गया: bucket3

============================================================
📊 सत्यापन परिणाम
============================================================
❌ परिणाम: संवेदनशील - CVE-2025-62506 मौजूद है
💡 अनुशंसा: तुरंत पैच किए गए संस्करण RELEASE.2025-10-15T17-29-55Z या उच्चतर में अपग्रेड करें
🔗 संदर्भ: https://github.com/minio/minio/security/advisories/GHSA-jjjj-jwhf-8rgr
============================================================

सुरक्षित सिस्टम

🚀 CVE-2025-62506 भेद्यता सत्यापन स्क्रिप्ट
============================================================
📋 स्क्रिप्ट विवरण:
   यह स्क्रिप्ट MinIO सेवा खाता विशेषाधिकार वृद्धि भेद्यता (CVE-2025-62506) का परीक्षण करती है
   यह भेद्यता प्रतिबंधित सेवा खातों को नए खाते बनाते समय इनलाइन नीतियों को बायपास करने की अनुमति देती है
============================================================

📦 चरण 1: परीक्षण बकेट बनाएं
   तीन परीक्षण बकेट बनाना: bucket1, bucket2, bucket3
   खाता पहुंच अनुमति प्रतिबंधों का परीक्षण करने के लिए उपयोग किया जाता है
----------------------------------------
   ✅ बकेट बनाया गया: bucket1
   ✅ बकेट बनाया गया: bucket2
   ✅ बकेट बनाया गया: bucket3

🔒 चरण 2: प्रतिबंधित नीति बनाएं
   एक नीति बनाना जो केवल bucket1 और bucket2 तक पहुंच की अनुमति देती है
   यह नीति प्रतिबंधित सेवा खाते पर लागू की जाएगी
----------------------------------------
   ✅ नीति बनाई गई: restricted-policy
   📋 नीति अनुमतियाँ:
      - अनुमत क्रियाएँ: s3:* (सभी S3 संचालन)
      - अनुमत संसाधन: bucket1/*, bucket2/*
      - अस्वीकृत संसाधन: अन्य सभी बकेट

👤 चरण 3: प्रतिबंधित सेवा खाता बनाएं
   उपरोक्त प्रतिबंधित नीति के साथ एक सेवा खाता बनाना
   यह खाता केवल bucket1 और bucket2 तक पहुंच सकता है
----------------------------------------
   ✅ सेवा खाता बनाया गया: restricted
   📋 खाता अनुमतियाँ:
      - एक्सेस कुंजी: restricted
      - नीति: इनलाइन प्रतिबंधित नीति (केवल bucket1 और bucket2)
      - अपेक्षित व्यवहार: केवल निर्दिष्ट बकेट तक पहुंच सकता है

🧪 चरण 4: प्रतिबंधित खाता पहुंच का परीक्षण करें
   बकेट सूचीबद्ध करने के लिए प्रतिबंधित खाते का उपयोग करना, अनुमतियों की पुष्टि करना
   अपेक्षित परिणाम: केवल bucket1 और bucket2 देख सकता है
----------------------------------------
   ✅ प्रतिबंधित खाता सही ढंग से अनुमत बकेट तक सीमित है
      सुलभ बकेट: ['bucket1', 'bucket2']

⚡ चरण 5: विशेषाधिकार वृद्धि का प्रयास करें (भेद्यता परीक्षण)
   नया सेवा खाता बनाने का प्रयास करने के लिए प्रतिबंधित खाते का उपयोग करना
   बिना निर्दिष्ट नीति वाला नया खाता मूल प्रतिबंधों को विरासत में लेना चाहिए
   भेद्यता: प्रतिबंधित खाता नीति को बायपास करके अप्रतिबंधित नए खाते बना सकता है
----------------------------------------
   ✅ सुरक्षित: प्रतिबंधित खाता नया सेवा खाता बनाने में विफल रहा
      त्रुटि: अनुमति सही ढंग से अस्वीकृत की गई
      विवरण: एक्सेस अस्वीकृत।

🧹 परीक्षण संसाधनों की सफाई...
----------------------------------------
   ✅ सेवा खाता हटाया गया: restricted
   ✅ नीति हटाई गई: restricted-policy
   ✅ बकेट हटाया गया: bucket1
   ✅ बकेट हटाया गया: bucket2
   ✅ बकेट हटाया गया: bucket3

============================================================
📊 सत्यापन परिणाम
============================================================
✅ परिणाम: सुरक्षित - CVE-2025-62506 पैच किया गया है
🎉 आपके MinIO संस्करण में यह भेद्यता पैच की गई है
============================================================

शमन

MinIO अपग्रेड करें: संस्करण RELEASE.2025-10-15T17-29-55Z या उच्चतर में अपडेट करें
सेवा खातों का ऑडिट करें: गैर-व्यवस्थापक खातों द्वारा बनाए गए सभी सेवा खातों की समीक्षा करें
संदिग्ध खातों को रद्द करें: किसी भी सेवा खाते को हटाएं जो शोषण के माध्यम से बनाए गए हो सकते हैं
एक्सेस लॉग की समीक्षा करें: संवेदनशील बकेट तक अनधिकृत पहुंच की जांच करें

लाइसेंस

यह सत्यापन स्क्रिप्ट सुरक्षा परीक्षण उद्देश्यों के लिए यथावत प्रदान की गई है।

CVE-2025-62506

सबसे लोकप्रिय