MinIO 权限提升漏洞
漏洞描述 MinIO是一个高性能对象存储服务。 Minio中创建访问密钥时权限继承存在问题。创建新的访问密钥会继承其父密钥对s3:*和admin:*的操作权限,如果在访问密钥的权限中未明确拒绝admin权限,访问密钥则能够修改自身权限。攻击者可以利用该漏洞提升权限,访问所有部署区域。 漏洞名称 MinIO 权限提升漏洞 漏洞类型 权限管理不当 发现时间 2024-02-01 漏洞影响广度 广 MPS编号 MPS-80no-taj1 CVE编号 CVE-2024-24747 CNVD编号 - 影响范围 github.com/minio/minio@(-∞, RELEASE.2024-01-31T20-20-33Z) 修复方案 将 github.com/minio/minio 升级至 RELEASE.2024-01-31T20-20-33Z 及以上版本 拒绝admin:UpdateServiceAccount服务帐户的权限规则 参考链接 https://www.oscs1024.com/hd/MPS-80no-taj1 https://nvd.nist.gov/vuln/detail/CV...

