saltstack漏洞

该漏洞具体描述
Salt(又称为SaltStack),一种全新的基础设施管理方式,部署轻松,在几分钟内可运行起来,扩展性好,很容易管理上万台服务器,速度够快,服务器之间秒级通讯。
国外某安全团队披露了SaltStack存在认证绕过导致命令执行漏洞以及目录遍历漏洞。
在认证绕过漏洞中,攻击者通过构造恶意请求,可以绕过Salt Master的验证逻辑,调用相关未授权函数功能,造成远程命令执行漏洞,从而获取主服务器及其管理的所有服务器的root权限,危害严重。
在目录遍历漏洞中,攻击者通过构造恶意请求,读取服务器上任意文件。

漏洞编号
CVE-2020-11651
CVE-2020-11652

风险等级
高危

影响版本
SaltStack < 2019.2.4
SaltStack < 3000.2

漏洞解决建议
1、官方已发布补丁更新,建议更新至安全版本及其以上;
2、将Salt Master默认监听端口(默认4505 和 4506)设置为仅对可信对象开放。

你可能感兴趣的:(笔记)