Script de Verificação da Vulnerabilidade CVE-2025-62506

Visão Geral

Este repositório contém um script de verificação para a CVE-2025-62506, uma vulnerabilidade de escalonamento de privilégios em contas de serviço MinIO e contas STS (Security Token Service).

Descrição da Vulnerabilidade

CVE-2025-62506 é uma vulnerabilidade de escalonamento de privilégios que permite que contas de serviço restritas e contas STS contornem suas restrições de política inline ao realizar operações de conta "própria", especificamente ao criar novas contas de serviço para o mesmo usuário.

Detalhes Técnicos

A vulnerabilidade existe na lógica de validação de política IAM em cmd/iam.go. Ao validar políticas de sessão para contas restritas que realizam operações em sua própria conta (como criar contas de serviço), o código dependia incorretamente do argumento DenyOnly.

O sinalizador DenyOnly é usado para permitir que contas realizem ações relacionadas à sua própria conta, verificando apenas se a ação é explicitamente negada. No entanto, quando uma política de sessão (sub-política) está presente, o sistema deve validar que a ação é realmente permitida pela política de sessão, não apenas que não é negada.

Cenário de Ataque

1. Um administrador cria uma conta de serviço ou conta STS com uma política inline restrita (por exemplo, acesso apenas a bucket1 e bucket2)
2. A conta restrita tenta criar uma nova conta de serviço para si mesma sem especificar nenhuma restrição de política
3. Devido ao contorno, a nova conta de serviço é criada com privilégios totais do pai, em vez de ser restringida pela política inline
4. O atacante agora tem privilégios escalonados além das restrições pretendidas

Impacto

• Complexidade do Ataque: BAIXA - A exploração requer apenas credenciais válidas para uma conta de serviço/STS restrita
• Confidencialidade: ALTA - Os atacantes podem acessar buckets e objetos além de suas restrições pretendidas
• Integridade: ALTA - Os atacantes podem modificar, excluir ou criar objetos fora de seu escopo autorizado
• Disponibilidade: NENHUMA - Não impacta diretamente a disponibilidade do serviço

Pontuação CVSS

8.1 (Alta) - CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Versões Afetadas

Todas as versões anteriores a RELEASE.2025-10-15T17-29-55Z

Versão Corrigida

RELEASE.2025-10-15T17-29-55Z

Referências

• Aviso de Segurança do GitHub
• Commit da Correção
• PR da Correção

Script de Verificação

O script verify_cve_2025_62506.py testa se sua instalação MinIO é vulnerável à CVE-2025-62506.

Pré-requisitos

• Python 3.7+
• Servidor MinIO em execução (pode ser iniciado com o docker-compose.yml fornecido)
• Pacotes Python necessários: minio

Instalação

1. Inicie o servidor MinIO:

docker-compose up -d

2. Instale as dependências:

pip install minio

Fluxo do Script

O script de verificação segue estas etapas:

Etapa 1: Criar Buckets de Teste

• Cria três buckets de teste: bucket1, bucket2, bucket3
• Esses buckets são usados para testar as restrições de permissão de acesso da conta

Etapa 2: Criar Política Restrita

• Cria uma política IAM que permite apenas acesso a bucket1 e bucket2
• Detalhes da política:
  • Ações Permitidas: s3:* (todas as operações S3)
  • Recursos Permitidos: bucket1/*, bucket2/*
  • Recursos Negados: Todos os outros buckets (incluindo bucket3)

Etapa 3: Criar Conta de Serviço Restrita

• Cria uma conta de serviço com a política restrita aplicada como política inline
• Detalhes da conta:
  • Chave de Acesso: restricted
  • Chave Secreta: restricted123
  • Política: Política restrita inline (apenas bucket1 e bucket2)
  • Comportamento Esperado: Só pode acessar os buckets especificados

Etapa 4: Testar Acesso da Conta Restrita

• Usa a conta restrita para listar buckets
• Verifica se as permissões estão devidamente restritas
• Resultado Esperado: Só pode ver bucket1 e bucket2

Etapa 5: Tentar Escalonamento de Privilégios (Teste de Vulnerabilidade)

• Usa a conta restrita para tentar criar uma nova conta de serviço
• A nova conta é criada sem especificar uma política (deve herdar as restrições do pai)
• Teste de Vulnerabilidade: Se a criação for bem-sucedida, tenta usar a nova conta para acessar recursos não autorizados (bucket3)
• Comportamento Seguro: A criação deve falhar com erro de permissão negada

Limpeza

• Remove todas as contas de serviço de teste
• Remove a política de teste
• Remove todos os buckets de teste e seus conteúdos

Uso

1. Certifique-se de que o MinIO está em execução:

docker-compose up -d

2. Execute o script de verificação:

python verify_cve_2025_62506.py

Saída Esperada

Sistema Vulnerável

🚀 Script de Verificação da Vulnerabilidade CVE-2025-62506
============================================================
📋 Descrição do Script:
   Este script testa a vulnerabilidade de escalonamento de privilégios de conta de serviço MinIO (CVE-2025-62506)
   A vulnerabilidade permite que contas de serviço restritas contornem políticas inline ao criar novas contas
============================================================

📦 Etapa 1: Criar Buckets de Teste
   Criando três buckets de teste: bucket1, bucket2, bucket3
   Usados para testar as restrições de permissão de acesso da conta
----------------------------------------
   ✅ Bucket criado: bucket1
   ✅ Bucket criado: bucket2
   ✅ Bucket criado: bucket3

🔒 Etapa 2: Criar Política Restrita
   Criando uma política que permite apenas acesso a bucket1 e bucket2
   Esta política será aplicada à conta de serviço restrita
----------------------------------------
   ✅ Política criada: restricted-policy
   📋 Permissões da Política:
      - Ações Permitidas: s3:* (todas as operações S3)
      - Recursos Permitidos: bucket1/*, bucket2/*
      - Recursos Negados: Todos os outros buckets

👤 Etapa 3: Criar Conta de Serviço Restrita
   Criando uma conta de serviço com a política restrita acima
   Esta conta só pode acessar bucket1 e bucket2
----------------------------------------
   ✅ Conta de serviço criada: restricted
   📋 Permissões da Conta:
      - Chave de Acesso: restricted
      - Política: Política restrita inline (apenas bucket1 e bucket2)
      - Comportamento Esperado: Só pode acessar os buckets especificados

🧪 Etapa 4: Testar Acesso da Conta Restrita
   Usando a conta restrita para listar buckets, verificando se as permissões estão devidamente restritas
   Resultado Esperado: Só pode ver bucket1 e bucket2
----------------------------------------
   ✅ Conta restrita corretamente limitada aos buckets permitidos
      Buckets acessíveis: ['bucket1', 'bucket2']

⚡ Etapa 5: Tentar Escalonamento de Privilégios (Teste de Vulnerabilidade)
   Usando a conta restrita para tentar criar uma nova conta de serviço
   Nova conta sem política especificada deve herdar as restrições do pai
   Vulnerabilidade: Conta restrita pode contornar a política para criar novas contas sem restrições
----------------------------------------
   ✅ Conta de serviço criada: newroot
   📋 Tentando usar a nova conta de serviço para acessar bucket3 não autorizado
   ⬆️ Tentando enviar objeto para bucket3 para verificar permissões
   ⬇️ Tentando listar objetos para verificar permissões
      Objeto encontrado: test-object
   ❌ VULNERÁVEL: Conta restrita criou com sucesso nova conta de serviço
      Permissões da nova conta: Sem restrições (herdou permissões totais do pai)
      Isso indica que a vulnerabilidade CVE-2025-62506 está presente!