软件安全SaltStack 多个严重漏洞通告
Posted 水网火安
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了软件安全SaltStack 多个严重漏洞通告相关的知识,希望对你有一定的参考价值。
2020年05月04日, 360CERT监测发现国外安全团队 发布了 SaltStack 存在多个漏洞的风险通告,漏洞编号为CVE-2020-11651/CVE-2020-11652,漏洞等级:严重。
SaltStack 是基于Python开发的一套服务器管理平台。具备服务配置管理、远程执命令、监控状态等功能。其特点是部署轻松,扩展性好,轻松管理上万台服务器,速度快,服务器之间秒级通讯。
SaltStack 存在 认证绕过漏洞/目录遍历漏洞,远程攻击者 通过 发送特制的请求,可以造成 控制SaltStack中全部服务器,并执行任意命令的危害
目前已有组织利用此类漏洞入侵企业内部服务器
对此,360CERT建议广大用户及时安装最新补丁,做好资产自查以及预防工作,以免遭受黑客攻击。
风险等级
360CERT对该事件的评定结果如下
评定方式 |
等级 |
威胁等级 |
严重 |
影响面 |
一般 |
漏洞详情
CVE-2020-11651 认证绕过漏洞,攻击者仅须发送特制请求包,绕过SaltStack 权限管理即可调用 SaltStack中用于命令下发的相关功能。导致远程命令执行漏洞。
CVE-2020-11652 目录遍历漏洞,攻击者通过构造恶意请求,可以实现读取 SaltStack 服务器上任意文件。导致敏感信息泄漏。
影响版本
SaltStack:< 2019.2.4
SaltStack:< 3000.2
以上是关于软件安全SaltStack 多个严重漏洞通告的主要内容,如果未能解决你的问题,请参考以下文章
安全通告丨SaltStack 远程命令执行漏洞风险通告(CVE-2020-11651/CVE-2020-11652)