MinIO vulnerable a escalada de privilegios en la API de importación de IAM en github.com/minio/minio

Un atacante que explote esta vulnerabilidad podría obtener acceso no autorizado a datos almacenados en MinIO, modificar configuraciones del sistema, o incluso ejecutar código arbitrario en el servidor. El impacto potencial es significativo, especialmente en entornos donde MinIO se utiliza para almacenar información sensible o crítica. La capacidad de escalar privilegios permite a un atacante evadir los controles de acceso estándar y comprometer la integridad y confidencialidad de los datos. Aunque no se han reportado casos de explotación activa, la naturaleza de la vulnerabilidad la convierte en un objetivo atractivo para actores maliciosos.

Organizations heavily reliant on MinIO for object storage, particularly those storing sensitive data or integrating MinIO with critical applications, are at significant risk. Environments with weak IAM policies or inadequate access controls are especially vulnerable. Shared hosting environments where multiple users share a MinIO instance also face increased risk.

• linux / server: Monitor MinIO logs for unusual IAM import requests or errors. Use journalctl -u minio to filter for relevant log entries.

journalctl -u minio | grep "IAM import" -i

• go / supply-chain: Examine MinIO code for the IAM import API functions. Look for potential vulnerabilities in input validation or access control logic. • generic web: If the IAM import API endpoint is exposed, use curl to test for unauthorized access.

curl -v -X POST -d '...' <minio_instance>/iam/import

1. 2024-12-18Disclosure

   disclosure

1. Reservado2024-12-13
2. Publicada2024-12-18
3. Modificada2026-03-03
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-55949 es actualizar MinIO a la versión 0.0.0-20241213221912-68b004a48f41 o superior. Si la actualización no es inmediatamente posible, considere implementar controles de acceso más estrictos en la API de importación de IAM, limitando el acceso a usuarios y roles autorizados. Monitorear los registros de MinIO en busca de actividades sospechosas relacionadas con la API de importación de IAM también puede ayudar a detectar y responder a posibles ataques. No se han identificado parches de reversión, por lo que la actualización es la solución recomendada.