CVE-2025-62506

Riepilogo

MinIO è un sistema di storage di oggetti ad alte prestazioni. In tutte le versioni precedenti a RELEASE.2025-10-15T17-29-55Z, una vulnerabilità di escalation dei privilegi consente agli account di servizio e agli account STS (Security Token Service) con policy di sessione ristrette di aggirare le restrizioni della propria policy inline quando eseguono operazioni sul proprio account, in particolare quando creano nuovi account di servizio per lo stesso utente. La vulnerabilità risiede nella logica di validazione delle policy IAM, dove il codice si affidava erroneamente all'argomento DenyOnly durante la validazione delle policy di sessione per account ristretti. Quando è presente una policy di sessione, il sistema dovrebbe verificare che l'azione sia consentita dalla policy di sessione, non solo che non sia negata. Un attaccante con credenziali valide per un account di servizio o STS ristretto può creare un nuovo account di servizio per sé stesso senza restrizioni di policy, ottenendo un nuovo account di servizio con pieni privilegi del genitore invece di essere limitato dalla policy inline. Ciò consente all'attaccante di accedere a bucket e oggetti oltre le restrizioni previste e di modificare, eliminare o creare oggetti al di fuori del proprio ambito autorizzato. La vulnerabilità è corretta nella versione RELEASE.2025-10-15T17-29-55Z.

• CVE-2025-62506PoC

  Script di verifica per CVE-2025-62506, una vulnerabilità di escalation dei privilegi negli account di servizio MinIO, che testa se account ristretti possono aggirare le policy inline per creare account senza restrizioni.