SaltStack 2月多個高危漏洞
發布時間 2021-02-260x00 漏洞概述
SaltStack是Python編寫的一套開源的C/S自動化運維工具，可輕松管理成千上萬臺服務器?？梢詫altStack看做是func的增強版+Puppet的弱化版，方便易用，并且它可以基于EPEL部署。
0x01 漏洞詳情
2021年02月25日，Salt Project發布安全更新，修復了SaltStack中的10個安全漏洞，其中有7個漏洞評級為高危，3個評級為中危。
本次修復的漏洞如下：
CVE ID | 評分 | 漏洞詳情 | 修復方法 |
CVE-2021-3144 | 7.4 | Eauth tokens在過期后可以使用一次。 | 如果tokens過期，則方法返回空字典。 |
CVE-2021-3148 | 6.8 | salt.utils.thin.gen_thin（）中存在命令注入漏洞。通過SaltAPI，從格式化的字符串構造命令，如果extra_mods中有單引號，則可以將命令截斷，因為json.dumps（）會轉義雙引號，同時保持單引號不變。 | 刪除thin utils中的shell用法。 |
CVE-2021-3197 | 7.0 | Salt-API的SSH客戶端容易受到通過在參數中包含ProxyCommand或通過API請求中提供ssh_options的Shell注入攻擊。 | 從CLI或netapi傳遞的參數中過濾出ProxyCommand。 |
CVE-2021-25281 | 8.1 | SaltAPI未驗證wheel_async客戶端的eauth憑據。攻擊者可遠程調用master上任意wheel模塊。 | wheel_async使用（強制）eauth憑據。 |
CVE-2021-25282 | 5.1 | salt.wheel.pillar_roots.write方法存在目錄遍歷漏洞，通過salt-api進行的未授權wheel_async訪問可以執行任意命令。 | 修復wheel.pillar_roots.write中的目錄遍歷漏洞。 |
CVE-2021-25283 | 8.1 | 內置Jinja渲染引擎存在SSTI（Server Side Template Injection，服務端模板注入）漏洞。 | 默認啟用Jinja渲染器安全模式。 |
CVE-2021-25284 | 4.1 | Webutils以明文形式將密碼寫入/var/log/salt/minion。Salt的默認配置中不存在此問題。 | cmdmod將僅記錄命令名稱，而不記錄完整命令。 |
CVE-2020-28243 | 7.0 | Minion中存在本地權限升級，當普通用戶能夠通過進程名稱中的命令注入而能夠在任何未列入黑名單的目錄中創建文件時，SaltStack的Minion可以進行權限升級。 | 刪除restarcheck模塊中的shell用法。 |
CVE-2020-28972 | 7.4 | 由于缺少對SSL證書的驗證，代碼庫無法驗證服務器的SSL/TLS證書，這可能使攻擊者可以通過中間人攻擊獲取敏感信息。 | 默認情況下，默認的VMware模塊可以驗證SSL。 |
CVE-2020-35662 | 7.4 | 默認情況下，Salt不驗證SSL證書的幾個地方。 | SSL證書將默認驗證。 |
影響范圍
Saltstack < 3002.2
可以通過以下幾種方式驗證Salt的安裝版本：
rpm -qi salt
dpkg-query -l salt\*
yum list installed salt\*
salt --versions-report
salt-call --local test.versions_report
0x02 處置建議
目前相關漏洞已經修復，建議及時升級至如下版本：
SaltStack >= 3002.5
SaltStack >= 3001.6
SaltStack >= 3000.8
下載鏈接：
https://repo.saltproject.io/
或者選擇安裝Saltstack相應版本的最新補丁文件，鏈接如下：
https://gitlab.com/saltstack/open/salt-patches
緩解措施
如果未使用wheel_async模塊，可以在 salt/netapi/__init__.py 中將其api調用入口wheel_async函數刪除。
0x03 參考鏈接
https://saltproject.io/security_announcements/active-saltstack-cve-release-2021-feb-25/
https://help.saltstack.com/hc/en-us/articles/360042888971-Upgrading-Your-Salt-Infrastructure
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-25281
0x04 時間線
2021-02-25 Salt Project發布更新公告
2021-02-26 VSRC發布安全通告
0x05 附錄
CVSS評分標準官網：http://www.first.org/cvss/
京公網安備11010802024551號