f:id:micro_keyword:20201111125517j:plain:w400

少し前になりますが、構成管理ソフトウェアSaltStackの脆弱性に関する情報が公開されました。

このうち、CVE-2020-16846およびCVE-2020-25592については、セキュリティリスクCriticalないしHighに位置づけられるものだと推測されています。

これらの詳細についてまとめつつ、リスクを少し考えてみようと思います。

CVE-2020-16846
- 影響範囲
  - SaltAPIを実行しているすべてのユーザに影響
  - Salt APIへのアクセスできるすべてのユーザ
- 概要
  - Salt APIへのアクセスできるユーザは認証なしに、SSHクライアントにおけるShell InjextionによってSalt-API上のコードを実行できる
- 解決策
  - netapi SSHクライアントにおけるShell Injextionを防止する
- 緩和する方法
  - 修正バージョンをインストールし、Salt-APIが再起動されていることを確認する
CVE-2020-25592
- 影響範囲
  - SaltAPIを実行しているすべてのユーザに影響
- 概要
  - salt-apiを介してSaltSSHを呼び出すときにeauth資格情報が適切に検証されていなかった
  - 「eauth」または「token」の値を指定することで、攻撃者は認証をバイパスしてSaltSSHを呼び出せる
- 解決策
  - SSHクライアントの利用時、認証を受けていないユーザはSalt-SSHのリストにセットされた対象にのみコマンドを実行できる用に修正する
- 緩和する方法
  - パッチをインストールし、Salt-APIが再起動されていることを確認する

セキュリティ更新パッケージとパッチ

セキュリティパッケージは以下のリンクより取得可能です。

repo.saltstack.com

利用可能なバージョン
- 3002.x
- 3001.x
- 3000.x
- 2019.x

また、セキュリティパッチも以下のリンクより取得可能です。

gitlab.com

利用可能なバージョン
- 3002
- 3001.1, 3001.2
- 3000.3, 3000.4
- 2019.2.5, 2019.2.6
- 2018.3.5
- 2017.7.4, 2017.7.8
- 2016.11.3, 2016.11.6, 2016.11.10
- 2016.3.4, 2016.3.6, 2016.3.8
- 2015.8.10, 2015.8.13

2020年5月に攻撃活動が観測されたSaltStackの脆弱性

2020年の5月に、同じくSaltStackの脆弱性として公開されたCVE-2020-11651およびCVE-2020-11652についての注意喚起が、JPCERT/CCより公開されました。

www.jpcert.or.jp

US-CERTのTwitterでも同様にして、注意が喚起されました。

SaltStack has patched critical vulnerabilities in Salt versions prior to 2019.2.4 and 3000.2. Update software ASAP to protect your cloud-based servers! Read more at https://t.co/ZMYTChpBv4. #Cyber #Cybersecurity #InfoSec #RCE
— US-CERT (@USCERT_gov) 2020年5月1日