关于SaltStack多个高危漏洞的预警提示
发布人:xjzx  发布时间:2020-11-18   浏览次数:10

一、漏洞详情

 

SaltStack是一款开源自动化运维工具。具备配置管理、远程执行、监控等功能,运维人员通过部署SaltStack,可在多台服务器上批量执行命令。

 

近日SaltStack发布了多个高危漏洞的安全通告,相关漏洞信息:CVE-2020-16846 SaltStack命令注入漏洞、CVE-2020-17490 SaltStack逻辑漏洞、CVE-2020-25592 SaltStack认证绕过漏洞。目前,SaltStack官方已发布升级版本和漏洞修复补丁,建议受影响用户更新到修复版本,做好资产自查以及预防工作,以免遭受黑客攻击。

 

CVE-2020-16846 SaltStack命令注入漏洞

 

未经身份验证的攻击者通过构造恶意请求,利用Shell注入(shell injection)获取SSH连接,从而在Salt-API上执行任意命令。

 

CVE-2020-17490 SaltStack逻辑漏洞

 

该漏洞源于Salttls执行模块中使用函数create_cacreate_csrcreate_self_signed_cert时,未能确保密钥使用正确的权限创建。本地攻击者用低权限用户登录salt主机,可以从当前salt程序主机上读取到密钥内容,导致信息泄露。

 

CVE-2020-25592 SaltStack认证绕过漏洞

 

该漏洞由于SALT API调用Salt SSH时未能正确验证“EAUTH”“TOKEN”的值,未经身份验证的攻击者通过salt-api绕过身份验证,从而使用salt ssh连接目标主机。

 

二、影响范围

 

SaltStack 2015

 

SaltStack 2016

 

SaltStack 2017

 

SaltStack 2018

 

SaltStack 2019

 

SaltStack 3000

 

SaltStack 3001

 

SaltStack 3002

 

三、修复建议

 

1、官方修复建议

 

建议受影响用户及时安装升级版本,下载地址:https://repo.saltstack.com

 

2、当前无法进行升级操作的用户,官方建议可通过安装修复补丁来缓解漏洞影响。