In de nieuwe versies van het gecentraliseerde configuratiebeheersysteem SaltStack 3002.5, 3001.6 en 3000.8 is een kwetsbaarheid (CVE-2020-28243) verholpen die een niet-bevoorrechte lokale gebruiker op de host in staat stelt zijn privileges in het systeem te verhogen. Het probleem werd veroorzaakt door een fout in de salt-minion handler, die wordt gebruikt voor het ontvangen van commando's van de centrale server. De kwetsbaarheid werd in november ontdekt, maar pas nu verholpen.
Bij het uitvoeren van de operatie "restartcheck" is het mogelijk om willekeurige commando's in te voegen door te manipuleren met de procesnaam. Concreet werd de aanwezigheid van een pakket gecontroleerd door het opstarten van de pakketbeheerder met een argument dat was verkregen op basis van de procesnaam. De pakketbeheerder wordt gestart via het aanroepen van de functie popen in shell-modus, maar zonder speciale tekens te escapen. Door de procesnaam te wijzigen en symbolen zoals ';' en '|' te gebruiken, kan het uitvoeren van eigen code worden georganiseerd.
Naast het genoemde probleem in SaltStack 3002.5 zijn nog 9 kwetsbaarheden verholpen:
- CVE-2021-25281 — door het ontbreken van een juiste autorisatiecontrole kan een externe aanvaller, via een oproep naar SaltAPI, elke wheel-module aanroepen aan de zijde van de master-server en zo de hele infrastructuur compromitteren.
- CVE-2021-3197 — probleem in de SSH-module naar minion, waardoor willekeurige shell-commando's kunnen worden uitgevoerd door het inbrengen van een argument met de instelling "ProxyCommand" of het doorgeven van ssh_options via de API.
- CVE-2021-25282 — ongeautoriseerde toegang tot wheel_async staat toe dat via een oproep naar SaltAPI een bestand buiten de basismap wordt herschreven en willekeurige code in het systeem wordt uitgevoerd.
- CVE-2021-25283 — het overschrijden van de basismap in de handler wheel.pillar_roots.write in SaltAPI maakt het mogelijk om een willekeurig sjabloon toe te voegen aan de jinja renderer.
- CVE-2021-25284 — wachtwoorden opgegeven via webutils kwamen in een open tekst terecht in de log /var/log/salt/minion.
- CVE-2021-3148 — mogelijkheid tot het invoegen van commando's via SaltAPI is het aanroepen van salt.utils.thin.gen_thin().
- CVE-2020-35662 — ontbreken van controle SSL- van het certificaat in de standaardconfiguratie.
- CVE-2021-3144 — mogelijkheid om authenticatietokens eauth te gebruiken na hun vervaldatum.
- CVE-2020-28972 — in de code werd het SSL/TLS-certificaat niet gecontroleerd, de serverwat MITM-aanvallen mogelijk maakte.
Bron: opennet.ru
