Vulnerabilidad en MinIO (CVE-2024-24747)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-269 Gestión de privilegios incorrecta

Fecha de publicación:

31/01/2024

Última modificación:

09/02/2024

Descripción

MinIO es un almacenamiento de objetos de alto rendimiento. Cuando alguien crea una clave de acceso, hereda los permisos de la clave principal. No solo para acciones `s3:*`, sino también para acciones `admin:*`. Lo que significa que, a menos que en algún lugar superior de la jerarquía de claves de acceso se denieguen los derechos de "administrador", las claves de acceso podrán simplemente anular sus propios permisos "s3" por algo más permisivo. La vulnerabilidad se solucionó en RELEASE.2024-01-31T20-20-33Z.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto