PT-2020-22672 · Saltstack · Saltstack Salt

Publicado 2020-01-17 · Atualizado 2020-01-17

Positive Technologies (AI Summary) · Pt

Nome do software vulnerável e versões afetadas

Versões do SaltStack Salt anteriores à 2019.2.0

Descrição

A vulnerabilidade permite que um invasor não autenticado, com acesso de rede ao endpoint da API, execute código arbitrário no host. Isso se deve a uma vulnerabilidade de injeção de comando na API NET do salt-api quando o cliente SSH está habilitado.

Recomendações

Para versões anteriores à 2019.2.0, atualize para a versão 2019.2.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere desativar o cliente SSH na API NET do salt-api para minimizar o risco de exploração.

Identificadores relacionados

PYSEC-2020-196

Produtos afetados

Saltstack Salt

Referências · 6

• https://github.com/saltstack/salt/commits/master · Nota
• http://lists.opensuse.org/opensuse-security-announce/2020-03/msg00026.html · Nota
• https://debian.org/security/2020/dsa-4676 · Aviso do Fabricante
• https://docs.saltstack.com/en/latest/topics/releases/2019.2.3.html#security-fix · Nota
• https://osv.dev/vulnerability/PYSEC-2020-196 · Aviso do Fabricante
• https://usn.ubuntu.com/4459-1 · Nota