SaltStack Salt において遠隔コード実行につながる認証回避の脆弱性(Scan Tech Report) | ScanNetSecurity
2020.08.09(日)

SaltStack Salt において遠隔コード実行につながる認証回避の脆弱性(Scan Tech Report)

構成管理ツールである SaltStack Salt に、遠隔から任意のコード実行につながる脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
www.saltstack.com
www.saltstack.com 全 1 枚 拡大写真
◆概要
 構成管理ツールである SaltStack Salt に、遠隔から任意のコード実行につながる脆弱性が報告されています。脆弱性を悪用された場合は、SaltStack Salt の実行権限でホストの制御を奪われてしまいます。アップグレードにより早急に対策してください。

◆分析者コメント
 コードの実行権限は SlatStack Salt に依存しますが、ソフトウェアの性質を考慮すると管理者権限で起動されている可能性が高いため、脆弱性を悪用されてしまった場合は、管理者権限で侵入されてしまう可能性が高いと考えられます。当該脆弱性を狙った攻撃者による積極的な攻撃活動が観測されている(関連情報 [3])ため、ソフトウェアのアップグレードにより対策すると共に、対象サーバの対象ポートのアクセス制御を見直してください。

◆影響を受けるソフトウェア
 SaltStack Salt の以下のバージョンが、脆弱性の影響を受けると報告されています。

  + 2019.2 系: 2019.2.4 未満
  + 3000 系: 3000 から 3000.2 未満

サポートが終了した SaltStack Salt 2015.8 系、2016.3 系、2016.11 系、2017.7 系、2018.3 系 についても、当該脆弱性の影響を受けると報告されています。

◆深刻度 (CVSS v3)
9.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2020-11651&vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H&version=3.1&source=NIST

◆解説
 構成管理ツールである SaltStack Salt に、遠隔からの任意のコード実行につながる認証回避の脆弱性が報告されています。

《株式会社ラック サイバー・グリッド研究所》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. iPhoneに不審なカレンダーなどが表示される報告が相次ぐ(IPA)

    iPhoneに不審なカレンダーなどが表示される報告が相次ぐ(IPA)

  2. やけど虫の駆除方法、体液が皮膚に付いてしまった場合の対策について

    やけど虫の駆除方法、体液が皮膚に付いてしまった場合の対策について

  3. ホームルーター調査、127製品ほぼ全てに脆弱性/英・加、APT29 による攻撃報告 ほか [Scan PREMIUM Monthly Executive Summary]

    ホームルーター調査、127製品ほぼ全てに脆弱性/英・加、APT29 による攻撃報告 ほか [Scan PREMIUM Monthly Executive Summary]

  4. COVID-19脅威レポートを発表、クラウドサービスを標的とした外部脅威が630%増加(マカフィー)

    COVID-19脅威レポートを発表、クラウドサービスを標的とした外部脅威が630%増加(マカフィー)

  5. サイバー犯罪の検挙件数、2019年は9,542件に(警察庁)

    サイバー犯罪の検挙件数、2019年は9,542件に(警察庁)

  6. テレワーク実施実態調査:都道府県別・業界別・職種別

    テレワーク実施実態調査:都道府県別・業界別・職種別

  7. いつもと違う夏 ~ FFRI 鵜飼裕司の Black Hat USA 2020 注目セッション

    いつもと違う夏 ~ FFRI 鵜飼裕司の Black Hat USA 2020 注目セッション

  8. テレワークで増えた3つの業務とは、実態調査を発表(ALSI)

    テレワークで増えた3つの業務とは、実態調査を発表(ALSI)

  9. 「アカウントを更新できなかった」とする偽Amazonメール(フィッシング対策協議会)

    「アカウントを更新できなかった」とする偽Amazonメール(フィッシング対策協議会)

  10. 「三越伊勢丹オンラインストア」「エムアイカード ホームページ」にパスワードリスト型攻撃(三越伊勢丹)

    「三越伊勢丹オンラインストア」「エムアイカード ホームページ」にパスワードリスト型攻撃(三越伊勢丹)

ランキングをもっと見る