安全通告|SaltStack多个高危漏洞风险通告(CVE-2020-16846/CVE-2020-25592)

原创 云鼎实验室 [云鼎实验室](javascript:void(0)😉 今天

收录于话题

#漏洞 1

#安全情报 1

近日,腾讯云安全运营中心监测到,SaltStack被曝存在两个高危漏洞(漏洞编号:CVE-2020-16846/CVE-2020-25592),未经身份验证的攻击者可能利用以上漏洞,进行权限绕过,执行恶意代码

为避免您的业务受影响,腾讯云安全建议您及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵。

漏洞详情

CVE-2020-16846:可通过网络访问Salt API的未经身份验证的用户,可使用Shell注入,通过SSH客户端在Salt-API上运行代码。

CVE-2020-25592:该漏洞由于SALT-NETAPI不正确地验证了EAUTH凭据和令牌导致,任何“ EAUTH”或“ TOKEN”的值都将允许用户绕过身份验证并调用SALT SSH。未经身份验证的用户可以访问针对Salt-SSH名册中设置的目标运行命令。

风险等级

严重

漏洞风险

CVE-2020-16846:未经身份验证的攻击者可利用该漏洞在Salt-API上运行代码。

CVE-2020-25592:未经身份验证的用户可以访问针对Salt-SSH名册中设置的目标运行命令。

影响版本

SaltStack 2015/2016/2017/2018/2019/3000/3001/3002

修复建议

1、SaltStack官方已发布安全补丁,腾讯云安全建议您尽快更新安全补丁,避免影响业务。

补丁下载链接:https://gitlab.com/saltstack/open/salt-patches

2、从SaltStack官方下载安全软件版本,下载地址:https://repo.saltstack.com/

漏洞参考

官方公告:

https://www.saltstack.com/blog/on-november-3-2020-saltstack-publicly-disclosed-three-new-cves/

转载自https://mp.weixin.qq.com/s/RhTpYHIEoDpX0fuP0A1jkw

admin-root 系统安全 web安全 安全架构
已标记关键词 清除标记