【漏洞預警】SaltStack遠程命令執行漏洞(CVE-2020-11651、CVE-2020-11652)

2020年5月3日，阿里云應急響應中心監測到近日國外某安全團隊披露了SaltStack存在認證繞過致命令執行漏洞以及目錄遍歷漏洞。

漏洞描述

SaltStack是基于Python開發的一套C/S架構配置管理工具。國外某安全團隊披露了SaltStack存在認證繞過漏洞(CVE-2020-11651)和目錄遍歷漏洞(CVE-2020-11652)。在CVE-2020-11651認證繞過漏洞中，攻擊者通過構造惡意請求，可以繞過Salt Master的驗證邏輯，調用相關未授權函數功能，從而可以造成遠程命令執行漏洞。在CVE-2020-11652目錄遍歷漏洞中，攻擊者通過構造惡意請求，讀取服務器上任意文件。阿里云應急響應中心提醒SaltStack用戶盡快采取安全措施阻止漏洞攻擊。

影響版本

SaltStack < 2019.2.4

SaltStack < 3000.2

安全版本

2019.2.4

3000.2

清理方案

當您發現服務器已經遭受攻擊，可登錄服務器使用阿里云安全團隊提供的清除工具進行一鍵清除。

curl https://xzfile.aliyuncs.com/aliyun/salt_miner_clean.sh | /bin/bash

修復方案

以下任意一種方法均可實現漏洞修復/緩解

1. 升級至安全版本及其以上，升級前建議做好快照備份措施。

安全版本下載地址參考：https://repo.saltstack.com

2. 設置SaltStack為自動更新，及時獲取相應補丁。

3. 將Salt Master默認監聽端口(默認4505 和 4506)設置為禁止對公網開放，或僅對可信對象開放。安全組相關設置示例如下：

經典安全組，設置公網入方向Drop規則
Drop 1 0.0.0.0/0 4505/4506

專有網絡安全組：
對可信對象設置內網入方向Accept規則(建議配置vpc所屬網段，以vpc是10網段為例)，
然后設置內網入方向Drop all規則(drop all優先級需要低于vpc所屬網段accept優先級，否則內網也將被阻斷)：

Accept 1 10.0.0.0/8 4505/4506

Drop 2 0.0.0.0/0 4505/4506

阿里云云安全中心應急漏洞模塊已支持對該漏洞一鍵檢測

相關鏈接

https://labs.f-secure.com/advisories/saltstack-authorization-bypass

阿里云應急響應中心

2020.05.03

相關閱讀：

5大漏洞：思科確認“數以百萬計”的網絡設備面臨嚴重安全威脅

Citrix曝出高危漏洞：全球158個國家8萬家企業正面臨威脅

RightScale 2019年云狀況調查報告：35% 的云支出被浪費「附50頁PDF下載」

更多文章請關注

文章好看點這里[在看]?