PT-2025-17524 · Minio · Minio Operator

Bburky · Publicado 2025-04-21 · Atualizado 2025-04-23 · CVE-2025-32963

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do MinIO Operator anteriores a 7.1.0

Descrição O problema refere-se ao STS do MinIO Operator, uma Autenticação IAM nativa para Kubernetes. Sem o escopo adequado, a autenticação pode ser replayada para outros sistemas internos que podem confiar nela inadvertidamente. Isso ocorre quando nenhum público é fornecido para o campo spec.audiences, assumindo por padrão o apiserver do Kubernetes.

Recomendações Para versões anteriores a 7.1.0, atualize para a versão 7.1.0 para resolver o problema. Como solução temporária, considere especificar públicos para o campo spec.audiences para evitar que o padrão seja o apiserver do Kubernetes.

Exploit

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

Identificadores relacionados

BDU:2025-09079

CVE-2025-32963

GHSA-7M6V-Q233-Q9J9

GO-2025-3637

OPENSUSE-SU-2025:15017-1

Produtos afetados

Minio Operator

Referências · 41

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/32xxx/CVE-2025-32963.json · Exploit
• https://github.com/github/advisory-database/blob/main/advisories/github-reviewed/2025/04/GHSA-7m6v-q233-q9j9/GHSA-7m6v-q233-q9j9.json · Nota
• https://github.com/minio/operator/commit/d586294d526bf0d8e6097225114655f68b0adcc5 · Nota
• https://github.com/minio/operator/releases/tag/v7.1.0 · Nota
• https://github.com/minio/operator/security/advisories/GHSA-7m6v-q233-q9j9 · Nota
• https://github.com/minio/operator · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-32963 · Nota de Segurança
• https://suse.com/security/cve/CVE-2025-32093 · Nota
• https://suse.com/security/cve/CVE-2025-32445 · Nota
• https://twitter.com/CVEnew/status/1914734351318757860 · Publicação no Twitter
• https://twitter.com/vulert_official/status/1914629154168783264 · Publicação no Twitter
• https://github.com/advisories/GHSA-7m6v-q233-q9j9 · Nota
• https://suse.com/security/cve/CVE-2025-27571 · Nota
• https://bdu.fstec.ru/vul/2025-09079 · Nota de Segurança
• https://t.me/cvedetector/23556 · Publicação no Telegram