一、概要

近日，華為云關(guān)注到SaltStack官方發(fā)布安全公告，披露SaltStack產(chǎn)品多個安全漏洞：

CVE-2021-3197：(cvssV3.1：7.0 嚴(yán)重) 安裝在minion上并運行了SSH模塊的SaltAPI，Salt-API的SSH客戶端容易受到Shell注入的攻擊。默認(rèn)情況下，該模塊未運行；

CVE-2021-25281：(cvssV3.1：8.0 嚴(yán)重) Salt-API未校驗wheel_async客戶端的eauth憑據(jù)，攻擊者可遠程調(diào)用master上任意wheel模塊；

CVE-2021-25282：(cvssV3.1：5.0 重要) salt.wheel.pillar_roots.write易受目錄遍歷影響；

CVE-2021-25283：(cvssV3.1：8.1 嚴(yán)重) 內(nèi)置Jinja渲染引擎存在SSTI（Server Side Template Injection，服務(wù)端模板注入）漏洞；

CVE-2021-25284：(cvssV3.1：4.1 重要) webutils以明文形式將密碼寫入 /var/log/salt/minion，Salt的默認(rèn)配置中不存在此問題；

CVE-2021-3148：(cvssV3.1：6.8 重要) salt.utils.thin.gen_thin（）中存在命令注入漏洞；

CVE-2020-35662：(cvssV3.1：7.4 嚴(yán)重) 默認(rèn)情況下未驗證SSL證書；

CVE-2021-3144：(cvssV3.1：7.4 嚴(yán)重) eauth令牌在過期后可以使用一次；

CVE-2020-28972：(cvssV3.1：7.4 嚴(yán)重) 缺少對SSL證書的驗證，代碼庫無法驗證服務(wù)器的SSL / TLS證書，這可能使攻擊者可以通過中間人攻擊獲取敏感信息；

CVE-2020-28243：(cvssV3.1：7.0 嚴(yán)重) 當(dāng)無特權(quán)的用戶能夠通過進程名稱中的命令注入而在任何未列入黑名單的目錄中創(chuàng)建文件時，SaltStack的Minion可以進行特權(quán)升級。

華為云提醒使用SaltStack用戶及時安排自檢并做好安全加固。

參考鏈接：Active SaltStack CVE Release 2021-FEB-25

二、威脅級別

威脅級別：【嚴(yán)重】

（說明：威脅級別共四級：一般、重要、嚴(yán)重、緊急）

三、漏洞影響范圍

影響版本：

SaltStack =< 3002.2

SaltStack =< 3001.4

SaltStack =< 3000.6

安全版本：

SaltStack >= 3002.3

SaltStack >= 3001.5

SaltStack >= 3000.7

四、漏洞處置

目前官方已發(fā)布版本修復(fù)了漏洞，請受影響的用戶升級至安全版本，官方下載地址：https://repo.saltstack.com 。

注：修復(fù)漏洞前請將資料備份，并進行充分測試。