CVE-2025-62506

总结

MinIO 是一个高性能对象存储系统。在 RELEASE.2025-10-15T17-29-55Z 之前的所有版本中，存在一个权限提升漏洞，允许具有受限会话策略的服务账户和 STS（安全令牌服务）账户在对其自身账户执行操作时绕过其内联策略限制，尤其是在为同一用户创建新的服务账户时。该漏洞存在于 IAM 策略验证逻辑中，代码在验证受限账户的会话策略时错误地依赖了 DenyOnly 参数。当存在会话策略时，系统应验证该操作是否被会话策略允许，而不仅仅是未被拒绝。具有受限服务账户或 STS 账户有效凭据的攻击者可以为其自身创建一个不受策略限制的新服务账户，从而获得具有完整父级权限的新服务账户，而非受内联策略限制。这使得攻击者能够访问超出其预期限制的存储桶和对象，并在其授权范围之外修改、删除或创建对象。该漏洞已在 RELEASE.2025-10-15T17-29-55Z 版本中修复。

• CVE-2025-62506PoC

  Verification script for CVE-2025-62506, a privilege escalation vulnerability in MinIO service accounts, testing if restricted accounts can bypass inline policies to create unrestricted accounts.