SaltStack Salt において遠隔コード実行につながる認証回避の脆弱性(Scan Tech Report) | ScanNetSecurity
2024.06.19(水)

SaltStack Salt において遠隔コード実行につながる認証回避の脆弱性(Scan Tech Report)

構成管理ツールである SaltStack Salt に、遠隔から任意のコード実行につながる脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
www.saltstack.com
www.saltstack.com 全 1 枚 拡大写真
◆概要
 構成管理ツールである SaltStack Salt に、遠隔から任意のコード実行につながる脆弱性が報告されています。脆弱性を悪用された場合は、SaltStack Salt の実行権限でホストの制御を奪われてしまいます。アップグレードにより早急に対策してください。

◆分析者コメント
 コードの実行権限は SlatStack Salt に依存しますが、ソフトウェアの性質を考慮すると管理者権限で起動されている可能性が高いため、脆弱性を悪用されてしまった場合は、管理者権限で侵入されてしまう可能性が高いと考えられます。当該脆弱性を狙った攻撃者による積極的な攻撃活動が観測されている(関連情報 [3])ため、ソフトウェアのアップグレードにより対策すると共に、対象サーバの対象ポートのアクセス制御を見直してください。

◆影響を受けるソフトウェア
 SaltStack Salt の以下のバージョンが、脆弱性の影響を受けると報告されています。

  + 2019.2 系: 2019.2.4 未満
  + 3000 系: 3000 から 3000.2 未満

サポートが終了した SaltStack Salt 2015.8 系、2016.3 系、2016.11 系、2017.7 系、2018.3 系 についても、当該脆弱性の影響を受けると報告されています。

◆深刻度 (CVSS v3)
9.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2020-11651&vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H&version=3.1&source=NIST

◆解説
 構成管理ツールである SaltStack Salt に、遠隔からの任意のコード実行につながる認証回避の脆弱性が報告されています。

《株式会社ラック デジタルペンテスト部》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. グリコの基幹システム障害、一部商品出荷を 6 / 25 以降再開

    グリコの基幹システム障害、一部商品出荷を 6 / 25 以降再開

  2. 約 30 名の学生がフィッシング被害に ~ 明治薬科大学教員の M365 アカウントに不正アクセス

    約 30 名の学生がフィッシング被害に ~ 明治薬科大学教員の M365 アカウントに不正アクセス

  3. イセトーにランサムウェア攻撃、阿波銀行・藤沢市・茅ヶ崎市にも影響

    イセトーにランサムウェア攻撃、阿波銀行・藤沢市・茅ヶ崎市にも影響

  4. 役に立たないメール訓練 もうやめません? by Googleセキュリティ担当者

    役に立たないメール訓練 もうやめません? by Googleセキュリティ担当者

  5. オイレス工業にランサムウェア攻撃、生産活動に影響なし 出荷通常通り

    オイレス工業にランサムウェア攻撃、生産活動に影響なし 出荷通常通り

  6. 「プレミアムバンダイ」会員情報漏えいの可能性、委託先従業員が私物ハードディスクを使用

    「プレミアムバンダイ」会員情報漏えいの可能性、委託先従業員が私物ハードディスクを使用

  7. 米政府、病院 IT システムの自動パッチ適用ツールに 80 億円投入

    米政府、病院 IT システムの自動パッチ適用ツールに 80 億円投入

  8. KADOKAWA グループ複数サイトで障害、サイバー攻撃の可能性

    KADOKAWA グループ複数サイトで障害、サイバー攻撃の可能性

  9. ニデックインスツルメンツにランサムウェア攻撃、複数のサーバ内ファイルが暗号化被害

    ニデックインスツルメンツにランサムウェア攻撃、複数のサーバ内ファイルが暗号化被害

  10. セキュリティ企業の セキュリティ企業による セキュリティ企業のための投資ファンド ~ GSX 青柳史郎が語る「日本サイバーセキュリティファンド」設立趣旨

    セキュリティ企業の セキュリティ企業による セキュリティ企業のための投資ファンド ~ GSX 青柳史郎が語る「日本サイバーセキュリティファンド」設立趣旨PR

ランキングをもっと見る