SaltStack修补被披露5个月的重大漏洞

2020年11月14日17:48:04 科技 1164

SaltStack修补被披露5个月的重大漏洞 - 天天要闻

在10月中旬被VMware完成并购的SaltStack,先是于10月30日预告,他们会在美国总统大选日11月3日,推出开源基础架构自动化管理系统Salt的修补程序,来防范可能会面临的大规模攻击。而当天该公司也如期推出,总共修补3个漏洞,其中2个的风险程度为重大等级。不过,部分漏洞已被趋势漏洞悬赏计划Zero Day Initiative(ZDI)在今年6月披露,企业应尽快安装更新程序。

这套基础架构自动化管理系统今年上半也被发现漏洞。例如,先前思科曾披露旗下采用该系统的产品,受到其漏洞影响且已有攻击行动。

这次SaltStack修补的3个漏洞,分别是CVE-2020-16846、CVE-2020-25592,以及CVE-2020-17490。这些漏洞影响3000.4、3001.2,以及3002等版本。从严重程度来看,与Salt的API有关的CVE-2020-16846与CVE-2020-25592,它们都属于重大等级,一旦黑客滥用,前者可发动壳层注入(Shell Injection)攻击,后者则能绕过身份验证机制;仅有与TLS模块加密密钥访问权限有关的CVE-2020-17490,影响较为轻微。

值得留意的是,上述漏洞被发现的时间点,有的已经超过5个月。例如,CVE-2020-16846已于6月被通报到ZDI,并被编号为ZDI-CAN-11143列管。而实际上,这些漏洞分别在8月下旬与9月,于GitHub项目上出现修补程序代码。SaltStack在11月3日的公告里,也特别提及其中2项漏洞是经由ZDI获报,发现这些漏洞的人ID是KPC。

SaltStack修补被披露5个月的重大漏洞 - 天天要闻

我们通过物联网搜索引擎搜索,现在有6,153个Salt的Master节点暴露于互联网,一旦管理者没有修补上述漏洞,很可能就会面临黑客滥用漏洞的风险。虽然SaltStack宣称已提前预告要修补漏洞,但是选择在美国总统大选这天推出修补程序的做法,恐怕有待商确。

SaltStack修补被披露5个月的重大漏洞 - 天天要闻

科技分类资讯推荐

淘宝闪购500亿补贴上线首日 589个零售品牌订单增长超100% - 天天要闻

淘宝闪购500亿补贴上线首日 589个零售品牌订单增长超100%

IT时报记者 孙妍7月2日,淘宝闪购官宣投入500亿补贴用户和商家。最新数据显示,补贴首日淘宝闪购订单显著增长,与5月2日淘宝闪购业务全量上线的订单量相比,有589个零售品牌当7月2日日订单量增长超100%,其中熟食、酒水乳饮品类的单量翻倍。食品、药品、3C数码、运动鞋服、鲜花等品类在淘宝闪购的订单增幅显著。补贴投入当...
友商截胡小米YU7订单,雷军说大可不必,直播中说出了营销秘诀 - 天天要闻

友商截胡小米YU7订单,雷军说大可不必,直播中说出了营销秘诀

小米汽车YU7上市18小时,锁单24万台,雷军表示“真是不敢相信,绝对创造了中国汽车工业的一个奇迹”。你知道小米的营销秘诀是什么吗?这也印证了我2个月前的预言:安徽铜陵交通事故不会阻碍YU7的销量,YU7将会畅销大卖。大家都纷纷讨论小米YU7的交付日期已经排到了明年。目前小米的年产能是35万辆,即月产不足3万,7月到12...
格力集团董事长换人!不到24小时,董明珠一句话,口碑瞬间反转 - 天天要闻

格力集团董事长换人!不到24小时,董明珠一句话,口碑瞬间反转

文|流明本文陈述内容皆有可靠信息来源,赘述在文章结尾前言近日,一则消息引得众多网友关注。格力集团突然召开股东大会,对外界宣布格力集团董事长正式换人。此消息一出全网炸锅,更有网友怒斥,格力最大的问题就是董明珠。可谁也没想到,董明珠仅用一句话,
消费调查|租借前要仔细甄别,长沙部分共享充电宝无3C认证 - 天天要闻

消费调查|租借前要仔细甄别,长沙部分共享充电宝无3C认证

三湘都市报全媒体记者 文 图 视频 李致远 通讯员 尹可可自6月28日民航充电宝新规以来,充电宝的安全问题持续引发广泛关注,一些品牌充电宝因存在过热的安全隐患被召回。“充电宝是否经过3C认证”成为关注焦点。事实上,除了个人购买使用的充电宝,采用快充模式的共享充电宝安全问题也应受到关注。这些几乎24小时循环利用...
11.98万起,实力多维进阶,奇骏·荣誉焕新上市! - 天天要闻

11.98万起,实力多维进阶,奇骏·荣誉焕新上市!

7月2日,东风日产正式发布奇骏·荣誉系列车型,该系列包含两款配置版本:真心版市场指导价11.98万元,领先版指导价12.58万元。作为品牌核心SUV产品,新款奇骏在智能化配置、座舱空间及外观设计三个维度实现全面升级。为保障消费者权益,厂家特别推出动力系统终身质
真的很全面!这就是我选择华为音乐的原因 - 天天要闻

真的很全面!这就是我选择华为音乐的原因

今年上半年,影音娱乐市场发挥稳定,本人在各种音综、影视剧、演唱会、新发布单曲和专辑组成的音乐世界里尽情狂奔。最近还挖到了华为音乐2025年中盘点歌单,体验后我只想说:音乐爱好者这里集结,跟我一起去挖宝藏吧! 这次华为音乐的年中盘点有单曲榜、专辑榜、特色榜、编辑推荐四大板块,每个都亮点满满。 先说单曲榜,获...