Matoleo mapya ya mfumo mkuu wa usimamizi wa usanidi wa SaltStack 3002.5, 3001.6 na 3000.8 yamerekebisha uwezekano wa kuathiriwa (CVE-2020-28243) ambao unamruhusu mtumiaji wa ndani asiyebahatika kuongeza upendeleo wao katika mfumo. Tatizo husababishwa na hitilafu kwenye kidhibiti-minion kinachotumiwa kupokea amri kutoka kwa seva kuu. Athari hiyo iligunduliwa mnamo Novemba, lakini sasa imerekebishwa.
Wakati wa kufanya operesheni ya "kuangalia upya", inawezekana kuchukua nafasi ya amri za kiholela kwa njia ya uendeshaji wa jina la mchakato. Hasa, ombi la uwepo wa kifurushi lilifanyika kwa kuzindua meneja wa kifurushi na kupitisha hoja inayotokana na jina la mchakato. Kidhibiti cha kifurushi kinazinduliwa kwa kupiga kazi ya popen katika hali ya uzinduzi wa ganda, lakini bila kutoroka wahusika maalum. Kwa kubadilisha jina la mchakato na kutumia alama kama ";" na "|" unaweza kupanga utekelezaji wa nambari yako.
Kwa kuongezea shida iliyobainika, SaltStack 3002.5 imerekebisha udhaifu 9 zaidi:
- CVE-2021-25281 - kwa sababu ya ukosefu wa uthibitisho sahihi wa mamlaka, mshambuliaji wa mbali anaweza kuzindua moduli yoyote ya gurudumu kwenye kando ya seva kuu ya udhibiti kwa kufikia SaltAPI na kuathiri miundombinu yote.
- CVE-2021-3197 ni suala katika moduli ya SSH kwa minion ambayo inaruhusu amri kiholela za shell kutekelezwa kupitia ubadilishanaji wa hoja na mpangilio wa "ProxyCommand" au kupitisha ssh_options kupitia API.
- CVE-2021-25282 Ufikiaji ambao haujaidhinishwa kwa wheel_async huruhusu simu kwa SaltAPI kufuta faili nje ya saraka ya msingi na kutekeleza msimbo kiholela kwenye mfumo.
- CVE-2021-25283 Saraka ya msingi inaweza kuathiriwa na nje ya mipaka katika kidhibiti cha wheel.pillar_roots.write katika SaltAPI inaruhusu kiolezo kiholela kuongezwa kwa kionyeshi cha jinja.
- CVE-2021-25284 - manenosiri yaliyowekwa kupitia mtandao yaliwekwa katika maandishi wazi katika logi ya /var/log/salt/minion.
- CVE-2021-3148 - Ubadilishaji wa amri unaowezekana kupitia simu ya SaltAPI kwa salt.utils.thin.gen_thin().
- CVE-2020-35662 - Uthibitishaji wa cheti cha SSL haupo katika usanidi chaguo-msingi.
- CVE-2021-3144 - Uwezekano wa kutumia tokeni za uthibitishaji baada ya muda wake kuisha.
- CVE-2020-28972 - Msimbo haukuangalia cheti cha seva cha SSL/TLS, ambacho kiliruhusu mashambulizi ya MITM.
Chanzo: opennet.ru