Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar

CVE-2020-11651

SaltStack Salt'ta kimlik doğrulama atlatma: master üzerinden komut çalıştırma

SaltStack Salt

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2372 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022.

Yönetici özeti

Bu açık, saldırganın hiçbir giriş bilgisi olmadan Salt ile yönetilen sunucuların tamamına komut çalıştırmasına imkân verir ve aktif olarak istismar edildiği bilinmektedir. Risk çok yüksektir; güncelleme gecikmeden yapılmalıdır. Salt master internete açıksa sistemlerin zaten ele geçirilmiş olma ihtimali de değerlendirilmelidir.

ÖzetTürkçe

SaltStack Salt'ın 2019.2.4 öncesi sürümlerinde ve 3000.2 öncesi 3000 sürümlerinde, salt-master sürecindeki ClearFuncs sınıfı metot çağrılarını doğru biçimde doğrulamıyor. Bu nedenle uzaktan bir kullanıcı bazı metotlara kimlik doğrulaması olmadan erişebiliyor. Salt master'ı ağdan erişilebilen tüm kurulumlar etkilenir. Açık, CISA'nın bilinen sömürülen güvenlik açıkları (KEV) kataloğunda yer alıyor.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulaması olmadan salt master üzerinden kullanıcı token'larını çalabilir ve salt minion'lar üzerinde keyfi komutlar çalıştırabilir. Bu durum yönetilen tüm sunucuların tamamen ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

An issue was discovered in SaltStack Salt before 2019.2.4 and 3000 before 3000.2. The salt-master process ClearFuncs class does not properly validate method calls. This allows a remote user to access some methods without authentication. These methods can be used to retrieve user tokens from the salt master and/or run arbitrary commands on salt minions.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. SaltStack Salt'ı 2019.2.4 veya 3000.2 ya da daha yeni bir sürüme güncelleyin; önce salt-master sunucusunu güncelleyin. Genel öneri
  2. Üretici talimatlarına uygun şekilde güncellemeleri uygulayın (CISA KEV gereği). CISA
  3. Güncelleme yapılana kadar salt-master'ın ağ portlarına erişimi güvenlik duvarıyla yalnızca güvenilir minion ve yönetim adresleriyle sınırlayın; master'ı internete açık bırakmayın. Genel öneri
  4. Güncellemeden sonra master ve minion'larda olağandışı komut çalıştırma, yeni kullanıcı veya zamanlanmış görev izlerini kontrol edin; ele geçirilme şüphesi varsa anahtarları ve token'ları yenileyin. Genel öneri

Ek önlemler

  • Salt master'ın erişimini yönetim ağı veya VPN ile sınırlayın ve internetten erişilebilirliğini düzenli olarak tarayarak doğrulayın. Genel öneri
  • Master üzerindeki günlükleri izleyin; kimlik doğrulamasız istekler ve minion'larda beklenmeyen komut çalıştırma girişimleri için uyarı tanımlayın. Genel öneri
  • Salt bileşenleri için düzenli yama yönetimi süreci uygulayın ve altyapı yönetim araçlarını kritik varlık olarak değerlendirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
SaltStack Salt Sürüm belirtilmemiş –

Kaynaklar13 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.