CVE-2025-27414 in MinIO
요약
\~에 의해 VulDB • 2026. 08. 01.
MinIO는 고성능 객체 스토리지입니다. RELEASE.2024-06-06T09-36-42Z부터 RELEASE.2025-02-28T09-55-16Z 이전 버전까지, MinIO에 대한 SFTP 연결에서 사용되는 SSH 키의 신뢰성을 평가하는 과정에서 버그가 발견되어 인증 우회 및 무단 데이터 접근이 가능합니다. LDAP를 외부 신원 공급자(IDP)로 사용하고 SFTP 액세스가 구성된 MinIO 서버에서는 사용자의 LDAP 서버에 `sshPublicKey` 속성이 설정된 경우, 해당 사용자가 SFTP 연결을 위해 SSH 키 기반 인증을 지원할 수 있습니다. 서버는 공개키가 `sshPublicKey` 속성과 동일한 경우에만 클라이언트의 키를 신뢰합니다. 그러나 버그로 인해 LDAP에서 사용자에게 `sshPublicKey` 속성이 없는 경우, 서버는 그 키를 신뢰하게 되어 공격자가 MinIO 액세스 정책(LDAP 사용자 또는 해당 그룹에 연결된)이 허용하는 모든 FTP 작업을 수행할 수 있습니다. 이 취약점을 악용하려면 세 가지 조건이 모두 충족되어야 합니다. 첫째, MinIO 서버가 SFTP 접근을 허용하고 LDAP를 외부 신원 공급자로 사용하도록 구성되어 있어야 합니다. 둘째, 공격자는 `sshPublicKey` 속성이 설정되지 않은 LDAP 사용자 이름을 알고 있어야 합니다. 셋째, 해당 LDAP 사용자 이름 또는 그 그룹 중 하나가 일부 MinIO 액세스 정책을 가지고 있어야 합니다. 이 버그가 성공적으로 악용되면, 공격자는 LDAP 계정(및 해당 그룹)에 연결된 액세스 정책이 허용하는 모든 FTP 작업(즉, 객체 읽기, 쓰기, 삭제 및 나열)을 수행할 수 있습니다. 버전 1.2.0에서 이 문제가 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.