清静预警 - 涉及豪运国际部分产品的SaltStack误差清静更新

产品清静 > 清静预警

清静预警 - 涉及豪运国际部分产品的SaltStack误差清静更新

预警编号：INSPUR-SA-202011-001

初始宣布时间：2020-11-25 18:32:32

更新宣布时间：2020-11-25 18:32:32

误差泉源：

saltstack官方披露

误差影响：

攻击者乐成使用上述误差可绕过身份验证，实现远程代码执行或获取系统敏感信息。

误差形貌：

CVE-2020-16846：下令注入误差，未经由身份验证的攻击者通过发送特制请求包，可通过 Salt API 注入 ssh 毗连下令。导致下令执行
CVE-2020-17490：逻辑误差，Salt tls执行模块中函数 create_ca，create_csr和create_self_signed_cert中保存逻辑误差，外地攻击者通过以低权限用户登录salt主机，可以从目今salt程序主机上读取到密钥内容，导致信息走漏。
CVE-2020-25592：验证绕过误差，Salt在验证eauth凭证和会见控制列表ACL时保存一处验证绕过误差，未经由身份验证的远程攻击者通过发送特制的请求包，可以通过salt-api绕过身份验证，并使用 salt ssh毗连目的服务器，团结CVE-2020-16846可能造成下令执行。

CVSS评分：

CVE	V3.1 Vector(Base)	Base Score	V3.1 Vector(Temporal Score)	Temporal Score
CVE-2020-16846	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	9.8	E:P/RL:O/RC:C	8.8
CVE-2020-17490	AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N	7.5	E:U/RL:O/RC:C	6.5
CVE-2020-25592	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	9.8	E:P/RL:O/RC:C	8.8

受影响产品：

产品名称	受影响产品版本	修复补丁包/升级包版本
AS13000	3.6.3.9	3.6.3.9:Salt-2015.8-AS13000--3.6.3.9-update.zip
AS13000	3.6.3.9-SP1
AS13000	3.6.3.9-SP2
AS13000	3.6.3.9-SP3
AS13000	3.6.3.9-SP4
AS13000	3.6.3.9-SP5
AS13000	3.4.3.7	3.4.3.6/7:salt-centos6-2015.8-AS13000-3.4.3.7-update.zip
AS13000	3.4.3.6	3.4.3.6/7:salt-centos6-2015.8-AS13000-3.4.3.7-update.zip

手艺细节：

CVE-2020-16846和CVE-2020-25592组合使用可在未授权的情形下通过salt-api接口执行恣意下令。CVE-2020-25592允许恣意用户挪用SSH模块，CVE-2020-16846允许用户执行恣意下令。salt-api虽不是默认开启设置，但绝大大都SaltStack用户会选择开启salt-api，故保存较高危害。

误差解决计划：

请用户直接联系客户服务职员或发送邮件至sun.meng@inspur.com，获取补丁，以及相关的手艺协助。

FAQ：

无

更新纪录：

20201125-V1.0-Initial Release

豪运国际清静应急响应对外服务：

豪运国际一直主张尽全力包管产品用户的最终利益，遵照认真任的清静事务披露原则，并通过产品清静问题处置惩罚机制处置惩罚产品清静问题。

反响豪运国际产品清静问题： /lcjtww/psirt/vulnerability-management/index.html#report_ldbg

获取手艺支持：/lcjtww/2317452/2317456/2317460/index.html

声明

本文档提供的所有数据和信息仅供参考，且"按原样"提供，不允许任何昭示、默示和法定的担保，包括(但不限于)对适销性、适用性及不侵权的担保。在任何情形下，豪运国际或其直接或间接控制的子公司，或其供应商，均差池任何一方因依赖或使用本信息而遭受的任何损失肩负责任，包括直接，间接，无意，一定的商业利润损失或特殊损失。豪运国际保存随时更改或更新此文档的权力。