网络安全关于SaltStack远程命令执行高危漏洞的预警通报

Posted 2021-05-01 宁夏网警

点击 蓝字，关注我们！

国家网络安全信息通报中心监测发现，SaltStack框架存在认证绕过高危漏洞（CVE-2020-11651）和目录遍历高危漏洞（CVE-2020-11652），现将漏洞详情通报如下：

一、漏洞情况

SaltStack是基于Python开发的一套C/S架构配置管理工具，是一个具备配置管理、远程执行、监控等功能的服务器基础架构集中化管理平台。通过部署SaltStack，运维人员可在大量服务器上进行批量执行命令，同时根据不同业务进行配置集中化管理、分发文件、采集服务器数据、操作系统基础及软件包管理等。

SaltStack存在认证绕过高危漏洞（CVE-2020-11651）和目录遍历高危漏洞（CVE-2020-11652）。在CVE-2020-11651认证绕过漏洞中，攻击者通过构造恶意请求，可绕过Salt Master验证逻辑，调用相关未授权函数功能，造成远程命令执行漏洞。在CVE-2020-11652目录遍历漏洞中，攻击者通过构造恶意请求，读取服务器上任意文件。

二、影响范围

SaltStack < 2019.2.4；

SaltStack < 3000.2。

三、处置建议

（一）将SaltStack升级至安全版本以上。升级前建议做好快照备份且将 SaltStack设置为自动更新，便于及时获取相应补丁。

（二）将Salt Master默认监听端口（默认4505 和 4506）设置为禁止对公网开放，或仅对可信对象开放。

请广大用户及时开展自查并进行漏洞修复。

附件：

补丁链接：

https://repo.saltstack.com