2024年2月2日，我中心收到一则MinIO 存在权限提升漏洞的信息，该漏洞是由于用户创建的访问密钥会继承更高的权限并可以覆盖现有权限。攻击者可利用该漏洞在获得低权限的情况下，构造恶意数据执行权限提升攻击，最终获取管理员权限。

漏洞编号：CVE-2024-24747，漏洞威胁等级：高危。

组件介绍：

MinIO 是一款开源的对象存储服务器，兼容亚马逊的 S3 协议，对Kubernetes 能够友好地支持,专为 AI 等云原生工作负载而设计。

影响范围：

目前受影响的MinIO 版本：

MinIO < RELEASE.2024-01-31T20-20-33Z

利用条件：

1、用户认证：需要用户认证

2、前置条件：默认配置

3、触发方式：远程

官方解决方案：

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：

https://github.com/minio/minio/releases

信息中心建议受影响的部门及时更新升级到最新版本，避免漏洞被恶意利用，并做好二次核查。

若有疑问请联系信息中心。

信息中心

2024年2月2日