SaltStack Salt において遠隔コード実行につながる認証回避の脆弱性(Scan Tech Report) | ScanNetSecurity
2024.03.19(火)

SaltStack Salt において遠隔コード実行につながる認証回避の脆弱性(Scan Tech Report)

構成管理ツールである SaltStack Salt に、遠隔から任意のコード実行につながる脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
www.saltstack.com
www.saltstack.com 全 1 枚 拡大写真
◆概要
 構成管理ツールである SaltStack Salt に、遠隔から任意のコード実行につながる脆弱性が報告されています。脆弱性を悪用された場合は、SaltStack Salt の実行権限でホストの制御を奪われてしまいます。アップグレードにより早急に対策してください。

◆分析者コメント
 コードの実行権限は SlatStack Salt に依存しますが、ソフトウェアの性質を考慮すると管理者権限で起動されている可能性が高いため、脆弱性を悪用されてしまった場合は、管理者権限で侵入されてしまう可能性が高いと考えられます。当該脆弱性を狙った攻撃者による積極的な攻撃活動が観測されている(関連情報 [3])ため、ソフトウェアのアップグレードにより対策すると共に、対象サーバの対象ポートのアクセス制御を見直してください。

◆影響を受けるソフトウェア
 SaltStack Salt の以下のバージョンが、脆弱性の影響を受けると報告されています。

  + 2019.2 系: 2019.2.4 未満
  + 3000 系: 3000 から 3000.2 未満

サポートが終了した SaltStack Salt 2015.8 系、2016.3 系、2016.11 系、2017.7 系、2018.3 系 についても、当該脆弱性の影響を受けると報告されています。

◆深刻度 (CVSS v3)
9.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2020-11651&vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H&version=3.1&source=NIST

◆解説
 構成管理ツールである SaltStack Salt に、遠隔からの任意のコード実行につながる認証回避の脆弱性が報告されています。

《株式会社ラック デジタルペンテスト部》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. テレビ新潟放送網にサイバー攻撃、データが暗号化被害

    テレビ新潟放送網にサイバー攻撃、データが暗号化被害

  2. サイバー攻撃 はじまりはいつも OSINT ~ 日本ハッカー協会 杉浦氏講演

    サイバー攻撃 はじまりはいつも OSINT ~ 日本ハッカー協会 杉浦氏講演

  3. 善意目的でスパム46万通、慈善団体が当局からお目玉

    善意目的でスパム46万通、慈善団体が当局からお目玉

  4. マルウェアが OpenAI の認証情報窃取、約 68 万 8,000 件をダークウェブ等で発見

    マルウェアが OpenAI の認証情報窃取、約 68 万 8,000 件をダークウェブ等で発見

  5. 理研計器の開発センターで放射性同位元素が所在不明に

    理研計器の開発センターで放射性同位元素が所在不明に

  6. 経済産業省 サイバーセキュリティ課 職員を名乗る自動音声電話に注意を呼びかけ

    経済産業省 サイバーセキュリティ課 職員を名乗る自動音声電話に注意を呼びかけ

  7. 愛知陸運にランサムウェア攻撃、不審な電話やメールに注意呼びかけ

    愛知陸運にランサムウェア攻撃、不審な電話やメールに注意呼びかけ

  8. NRIセキュア「企業における情報セキュリティ実態調査 2023」公表、日本の生成 AI 導入済企業 18.0%

    NRIセキュア「企業における情報セキュリティ実態調査 2023」公表、日本の生成 AI 導入済企業 18.0%

  9. 経済産業省「攻撃技術情報の取扱い・活用手引き」と「秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文」を策定

    経済産業省「攻撃技術情報の取扱い・活用手引き」と「秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文」を策定

  10. NEC、陸自「多国間サイバー防護競技会(Cyber KONGO 2024)」を支援

    NEC、陸自「多国間サイバー防護競技会(Cyber KONGO 2024)」を支援

ランキングをもっと見る