構成管理ツール「SaltStack Salt」に複数の脆弱性（JPCERT/CC）
JPCERT/CCは、「SaltStack Salt の複数の脆弱性 (CVE-2020-11651, CVE-2020-11652) に関する注意喚起」を発表した。
脆弱性と脅威
セキュリティホール・脆弱性
対象となる製品およびバージョンは次の通り。
・Salt versions 2019.2.3 およびそれ以前
・Salt versions 3000.1 およびそれ以前
なお、すでにサポートが終了している SaltStack Salt 2015.8 系、2016.3 系、2016.11 系、2017.7 系、2018.3 系のバージョンも本脆弱性の影響を受ける。
これらのバージョンの製品には、悪用されるとリモートから認証不要でマスターサーバ上のユーザトークンが窃取されたり、管理対象サーバ上で任意のコマンドを実行されたりするなどの影響を受ける可能性のある脆弱性が存在する。JPCERT/CCの定点観測システム「TSUBAME」では、マスターサーバが使用するポート (4505/TCP宛や、4506/TCP宛) へのスキャンを確認している。
SaltStackからは、脆弱性を修正したバージョンのSaltが公開されているため、十分なテストを実施の上、修正済みのバージョンの適用を検討するよう呼びかけている。また、すでにサポートが終了しているバージョンを使用している場合は、サポート対象のバージョンへのアップデートを強く推奨している。
