オブジェクトストレージ「MinIO」に深刻な脆弱性

オブジェクトストレージのプラットフォーム「MinIO」において、管理者権限を取得されるおそれがある深刻な脆弱性が明らかとなった。

同ソフトウェアに用意されているAPI「IAM Import API」において権限チェックが不十分なことから、権限の昇格が可能となる脆弱性「CVE-2024-55949」が判明したもの。米国家安全保障局（NSA）より報告を受けたという。

細工した認証および認可設定情報を含むzipファイルをインポートさせることで、管理者レベルの権限を取得することが可能。アノニマスユーザーを除くほとんどのユーザー権限で悪用できるとしている。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv4.0」のベーススコアを「9.3」と評価、重要度をもっとも高い「クリティカル（Critical）」とレーティングした。

開発チームは、12月13日にリリースしたアップデート「RELEASE.2024-12-13T22-19-12Z」で脆弱性を修正。ソースリポジトリにおいてパッチを公開している。回避策はなく、すべてのユーザーに更新を呼びかけている。

（Security NEXT - 2024/12/20 ）ツイート