漏洞通告SaltStack远程命令执行漏洞

Posted 2021-05-01 四叶草安全

漏洞背景

SaltStack是基于python开发的一套C/S自动化运维工具。近日，国外安全团队披露了SaltStack管理框架的多个安全漏洞（CVE-2020-11651/CVE-2020-11652），攻击者可利用该漏洞实现远程命令执行。

漏洞详情

近日，SaltStack被爆存在认证绕过漏洞（CVE-2020-11651）和目录遍历漏洞（CVE-2020-11652），其中：

CVE-2020-11651：为认证绕过漏洞，攻击者可构造恶意请求，绕过Salt Master的验证逻辑，调用相关未授权函数功能，达到远程命令执行目的。

CVE-2020-11652：为目录遍历漏洞，攻击者可构造恶意请求，读取服务器上任意文件，获取系统敏感信息信息。

漏洞影响范围

SaltStack < 2019.2.4

SaltStack < 3000.2

漏洞危害

高危

修复建议

SaltStack官方已发布新版本修复上述漏洞：

1）升级至修复版本，下载地址参考：https://repo.saltstack.com；

2）设置安全组，禁止Salt Master默认监听端口（默认4505和4506）对公网开放或只允许可信IP访问默认监听端口。

参考链接

https://labs.f-secure.com/advisories/saltstack-authorization-bypass

https://www.securityweek.com/critical-vulnerability-salt-requires-immediate-patching

应急支持

如需应急支持，请联系四叶草安全应急响应团队。

四叶草安全

专注于为客户提供网络信息化安全服务

西安四叶草信息技术有限公司是一家领先的实战创新型网络安全公司。公司秉承“以攻促防”的安全理念，深耕网络攻防实战型人才培养，为客户提供一体化网络信息安全解决方案，致力于帮助客户以攻击者的视角先于黑客发现并及时解决安全隐患。业务范围覆盖政府、运营商、互联网、教育、金融、电力、能源、企业等。  

更多动态

四叶草安全

让安全风险可控，防御更简单

感洞｜雁行｜研究院｜网络安全学院｜SSC