了解金山云最新公告
2020-05-03 00:00:00
2020年5月3日，金山云安全應(yīng)急響應(yīng)中心監(jiān)控到國外安全團隊發(fā)布了關(guān)于SaltStack的兩個高危漏洞，命令執(zhí)行漏洞(CVE-2020-11651）和目錄遍歷漏洞（CVE-2020-11652），建議受影響用戶及時安裝最新補丁，采取相關(guān)防護措施，避免損失。
漏洞編號:
CVE-2020-11651
CVE-2020-11652
漏洞名稱:
SaltStack命令執(zhí)行和目錄遍歷漏洞
危害等級:
高危
漏洞描述:
CVE-2020-11651：攻擊者利用該漏洞構(gòu)造惡意請求，可以繞過正常的Salt Master驗證邏輯，調(diào)用相關(guān)未授權(quán)函數(shù)的功能，從而實現(xiàn)遠程命令執(zhí)行。
CVE-2020-11652：攻擊者利用該漏洞構(gòu)造惡意請求，可以獲取服務(wù)器目錄結(jié)構(gòu)，讀取任意文件。
影響版本:
SaltStack < 2019.2.4
SaltStack < 3000.2
修復方案：
1. 升級至最新安全版本，升級前注意進行快照備份。
2. 設(shè)置Salt Master的默認監(jiān)聽端口（4505 和 4506）禁止對公網(wǎng)開放，或僅對可信IP開放。
參考鏈接：
https://labs.f-secure.com/advisories/saltstack-authorization-bypass
北京金山云網(wǎng)絡(luò)技術(shù)有限公司
2020/05/03