Ohtlikud haavatavused SaltStacki konfiguratsiooni haldamise süsteemis

Uutes versioonides SaltStacki keskse konfiguratsiooni haldamise süsteemist 3002.5, 3001.6 ja 3000.8 on kõrvaldatud haavatavus (CVE-2020-28243), mis võimaldab privileege suurendada madala privileegidega kohalikul kasutajal. Probleem tuleneb vigadest salt-minioni töötlejas, mis on vajalik keskserverilt käskude vastuvõtmiseks. Haavatavus tuvastati novembris, kuid fikseeriti alles nüüd.

Operatsiooni 'restartcheck' käivitamisel on võimalik suvaliste käskude sisestamine protsessi nime manipuleerimise kaudu. Eelkõige tehti paketi olemasolu kontroll, käivitades paketi haldurit koos protsessi nime põhjal saadud argumendiga. Paketi halduri käivitamine toimub popen-funktsiooni kaudu shell-režiimis, kuid erimärkide kaitset ei ole. Muutes protsessi nime ja kasutades sümboleid nagu ';' ja '|', on võimalik käivitada enda kood.

Lisaks eelmainitud probleemile on SaltStacki versioonist 3002.5 kõrvaldatud veel 9 haavatavust:

• CVE-2021-25281 — piisava volituste kontrolli puudumise tõttu võib kaugtuvastaja SaltAPI kaudu käivitada mis tahes wheel-mooduli juhtserveri poolel ja nõrgestada kogu infrastruktuuri.
• CVE-2021-3197 — probleem SSH-moodulis minioni jaoks, mis võimaldab läbi argumendi asendamise 'ProxyCommand' või ssh_options edastamise API kaudu käivitada suvalisi shell-käsklusi.
• CVE-2021-25282 — volitamata juurdepääs wheel_async'i kaudu, mis võimaldab SaltAPI kaudu kirjutada faili väljaspool baasikausta ja käivitada suvalist koodi süsteemis.
• CVE-2021-25283 — baasikaustast väljumine wheel.pillar_roots.write töötlejas SaltAPI kaudu võimaldab lisada suvalise mall jinja renderdamisele.
• CVE-2021-25284 — webutils'i kaudu määratud paroolid salvestati avatud kujul logis /var/log/salt/minion.
• CVE-2021-3148 — suvaliste käskude sisestamine SaltAPI kaudu funktsiooni salt.utils.thin.gen_thin() kutsumise kaudu.
• CVE-2020-35662 — kontrollimise puudumine SSL-sertifikaadi osas vaikimisi konfiguratsioonis.
• CVE-2021-3144 — autentimistokenite eauth kasutamine pärast nende kehtivusaja lõppu.
• CVE-2020-28972 — koodis ei kontrollitud SSL/TLS-sertifikaati serverilt, mis võimaldas MITM-rünnakute sooritamist.

Allikas: opennet.ru