CVE-2025-62506

MinIO yüksek performanslı bir nesne depolama sistemidir. RELEASE.2025-10-15T17-29-55Z öncesindeki tüm sürümlerde, kısıtlanmış oturum politikalarına sahip servis hesaplarının ve STS (Security Token Service) hesaplarının, kendi hesapları üzerinde işlem yaparken, özellikle aynı kullanıcı için yeni servis hesapları oluştururken satır içi politika kısıtlamalarını atlatmalarına olanak tanıyan bir yetki yükseltme zafiyeti bulunmaktadır. Zafiyet, kodun kısıtlanmış hesaplar için oturum politikalarını doğrularken hatalı bir şekilde DenyOnly argümanına güvenmesi nedeniyle IAM politika doğrulama mantığında mevcuttur. Bir oturum politikası mevcut olduğunda, sistem işlemin sadece reddedilmediğini değil, aynı zamanda oturum politikası tarafından izin verildiğini de doğrulamalıdır. Kısıtlanmış bir servis veya STS hesabı için geçerli kimlik bilgilerine sahip bir saldırgan, kendisi için politika kısıtlamaları olmayan yeni bir servis hesabı oluşturabilir; bu durum, satır içi politika ile kısıtlanmak yerine tam üst yetkilere sahip yeni bir servis hesabıyla sonuçlanır. Bu, saldırganın amaçlanan kısıtlamalarının ötesindeki bucket'lara ve nesnelere erişmesine ve yetkili kapsamının dışındaki nesneleri değiştirmesine, silmesine veya oluşturmasına olanak tanır. Zafiyet, RELEASE.2025-10-15T17-29-55Z sürümünde giderilmiştir.