SaltStack修补被披露5个月的重大漏洞

在10月中旬被VMware完成并购的SaltStack,先是于10月30日预告,他们会在美国总统大选日11月3日,推出开源基础架构自动化管理系统Salt的修补程序,来防范可能会面临的大规模攻击。而当天该公司也如期推出,总共修补3个漏洞,其中2个的风险程度为重大等级。不过,部分漏洞已被趋势漏洞悬赏计划Zero Day Initiative(ZDI)在今年6月披露,企业应尽快安装更新程序。

这套基础架构自动化管理系统今年上半也被发现漏洞。例如,先前思科曾披露旗下采用该系统的产品,受到其漏洞影响且已有攻击行动。

这次SaltStack修补的3个漏洞,分别是CVE-2020-16846、CVE-2020-25592,以及CVE-2020-17490。这些漏洞影响3000.4、3001.2,以及3002等版本。从严重程度来看,与Salt的API有关的CVE-2020-16846与CVE-2020-25592,它们都属于重大等级,一旦黑客滥用,前者可发动壳层注入(Shell Injection)攻击,后者则能绕过身份验证机制;仅有与TLS模块加密密钥访问权限有关的CVE-2020-17490,影响较为轻微。

值得留意的是,上述漏洞被发现的时间点,有的已经超过5个月。例如,CVE-2020-16846已于6月被通报到ZDI,并被编号为ZDI-CAN-11143列管。而实际上,这些漏洞分别在8月下旬与9月,于GitHub项目上出现修补程序代码。SaltStack在11月3日的公告里,也特别提及其中2项漏洞是经由ZDI获报,发现这些漏洞的人ID是KPC。

我们通过物联网搜索引擎搜索,现在有6,153个Salt的Master节点暴露于互联网,一旦管理者没有修补上述漏洞,很可能就会面临黑客滥用漏洞的风险。虽然SaltStack宣称已提前预告要修补漏洞,但是选择在美国总统大选这天推出修补程序的做法,恐怕有待商确。

发表评论