CVE-2025-27414

MinIO yüksek performanslı bir nesne depolama sistemidir. RELEASE.2024-06-06T09-36-42Z sürümünden başlayarak RELEASE.2025-02-28T09-55-16Z sürümüne kadar olan versiyonlarda, MinIO'ya yapılan bir SFTP bağlantısında kullanılan SSH anahtarının güvenilirliğinin değerlendirilmesindeki bir hata, kimlik doğrulama atlatmaya ve yetkisiz veri erişimine izin vermektedir. SFTP erişimi yapılandırılmış ve harici kimlik sağlayıcı olarak LDAP kullanan bir MinIO sunucusunda MinIO, kullanıcının LDAP sunucusunda `sshPublicKey` özniteliği tanımlı olduğunda SFTP bağlantıları için SSH anahtarı tabanlı kimlik doğrulamayı destekler. Sunucu, istemcinin anahtarına yalnızca genel anahtar `sshPublicKey` özniteliği ile aynı olduğunda güvenir. Hata nedeniyle, kullanıcıda LDAP üzerinde herhangi bir `sshPublicKey` özelliği bulunmadığında, sunucu anahtara güvenmekte ve böylece istemcinin LDAP kullanıcısı (veya gruplarının herhangi biri) ile ilişkili MinIO erişim politikaları tarafından izin verilen tüm FTP işlemlerini gerçekleştirmesine olanak tanımaktadır. Güvenlik açığından yararlanmak için üç gereksinim karşılanmalıdır. Birincisi, MinIO sunucusu SFTP erişimine izin verecek şekilde yapılandırılmalı ve harici kimlik sağlayıcı olarak LDAP kullanmalıdır. İkincisi, saldırgan, `sshPublicKey` özelliği tanımlanmamış bir LDAP kullanıcı adını bilmelidir. Üçüncüsü, söz konusu LDAP kullanıcı adının veya gruplarından birinin yapılandırılmış bir MinIO erişim politikasına sahip olması gerekir. Bu hata başarıyla istismar edildiğinde, saldırgan LDAP kullanıcı hesabı (ve grupları) ile ilişkili erişim politikasının izin verdiği tüm FTP işlemlerini (yani nesneleri okuma, yazma, silme ve listeleme) gerçekleştirebilir. Versiyon 1.2.0 bu sorunu düzeltmektedir.