CVE-2025-62506

概要

MinIOは、高性能なオブジェクトストレージシステムです。RELEASE.2025-10-15T17-29-55Zより前のすべてのバージョンにおいて、権限昇格の脆弱性が存在し、制限付きセッションポリシーを持つサービスアカウントおよびSTS（Security Token Service）アカウントが、自身のアカウントに対して操作を実行する際、特に同じユーザー向けに新しいサービスアカウントを作成する際に、インラインポリシーの制限を回避できる可能性があります。この脆弱性はIAMポリシー検証ロジックに存在し、コードが制限付きアカウントのセッションポリシーを検証する際に、誤ってDenyOnly引数に依存していたことが原因です。セッションポリシーが存在する場合、システムはそのアクションがセッションポリシーによって許可されているかを検証すべきであり、単に拒否されていないことだけを確認するのではありません。制限付きサービスアカウントまたはSTSアカウントの有効な認証情報を持つ攻撃者は、ポリシー制限なしで自身の新しいサービスアカウントを作成でき、その結果、インラインポリシーによる制限を受けずに親アカウントの完全な権限を持つ新しいサービスアカウントが作成されます。これにより、攻撃者は意図された制限を超えてバケットやオブジェクトにアクセスし、許可された範囲外のオブジェクトを変更、削除、または作成することが可能になります。この脆弱性は、バージョンRELEASE.2025-10-15T17-29-55Zで修正されています。

ソース

• CVE-2025-62506PoC

  CVE-2025-62506の検証スクリプト。MinIOサービスアカウントにおける権限昇格の脆弱性で、制限されたアカウントがインラインポリシーをバイパスして無制限のアカウントを作成できるかどうかをテストします。