CVE-2024-24747｜MinIO权限提升漏洞

2024年2月4日11:41:21评论179 views字数 598阅读1分59秒阅读模式

0x00 前言

MinIO 是一种高性能、Amason的S3分布式对象存储。专为大规模AI/ML、数据和数据库工作负载而构建，并且它是由软件定义的存储。

Minio 可以做为云存储的解决方案用来保存海量的图片，视频，文档。由于采用 Golang 实现，服务端可以工作在 Windows,Linux, OS X 和 FreeBSD 上。配置简单，基本是复制可执行程序，单行命令可以运行起来。

默认端口：9000

默认用户名、密码：minioadmin

0x01 漏洞描述

Minio创建访问密钥时权限继承存在问题。

创建新的访问密钥会继承其父密钥对s3:*和admin:*的操作权限，如果在访问密钥的权限中未明确拒绝admin权限，访问密钥则能够修改自身权限。

攻击者可以利用该漏洞提升权限，访问所有部署区域。

0x02 CVE编号

CVE-2024-24747

0x03 影响版本

Minio < RELEASE.2024-01-31T20-20-33Z

0x04 漏洞详情

https://github.com/minio/minio/security/advisories/GHSA-xx8w-mq23-29g4

0x05 参考链接

https://github.com/minio/minio/security/advisories/GHSA-xx8w-mq23-29g4

原文始发于微信公众号（信安百科）：CVE-2024-24747｜MinIO权限提升漏洞

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

本文由 admin 发表于 2024年2月4日11:41:21
转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
CVE-2024-24747｜MinIO权限提升漏洞http://cn-sec.com/archives/2465620.html
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

漏洞复现 || XWiki Platform系统远程代码执行 POC