PT-2021-14842 · Saltstack+1 · Saltstack Salt+1

CVE-2021-22004 · Publicado 2021-09-08 · Atualizado 2022-11-25

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.5

Alta

Vetor base

AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do SaltStack Salt anteriores à 3003.3

Descrição

Foi detectada uma falha que permite que um agente mal-intencionado comprometa o funcionamento adequado do software minion. Isso ocorre quando o instalador do Salt minion aceita e utiliza um arquivo de configuração do minion localizado em C:saltconf, caso esse arquivo já esteja presente antes da execução do instalador.

Recomendações

Para versões anteriores à 3003.3, atualize para a versão 3003.3 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao diretório C:saltconf para impedir que arquivos de configuração maliciosos sejam colocados nesse local.

Correção

Improper Authentication

Race Condition

Enumeração de Fraquezas

CWE-287

CWE-362

Identificadores relacionados

ALT-PU-2022-3218

CVE-2021-22004

GHSA-XF37-QCVF-7M57

PYSEC-2021-346

Produtos afetados

Alt Linux

Saltstack Salt

Referências · 17

• https://github.com/saltstack/salt · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/salt/PYSEC-2021-346.yaml · Nota
• https://github.com/advisories/GHSA-xf37-qcvf-7m57 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-22004 · Nota de Segurança
• https://ubuntu.com/security/CVE-2021-22004 · Aviso do Fabricante
• https://saltproject.io/security_announcements/salt-security-advisory-2021-sep-02 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/MBAHHSGZLEJRCG4DX6J4RBWJAAWH55RQ · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/6BUWUF5VTENNP2ZYZBVFKPSUHLKLUBD5 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-346 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/6BUWUF5VTENNP2ZYZBVFKPSUHLKLUBD5 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-22004 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/ACVT7M4YLZRLWWQ6SGRK3C6TOF4FXOXT · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-xf37-qcvf-7m57 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ACVT7M4YLZRLWWQ6SGRK3C6TOF4FXOXT · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-22004 · Aviso do Fabricante