- Aktif istismar
- CWE-22
CVE-2020-11652
SaltStack Salt'ta yetkisiz dizin erişimine yol açan yol geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2371 gün
- Kaydı açan
- mitre
ÖzetTürkçe
SaltStack Salt 2019.2.4 sürümünden önceki sürümlerde ve 3000 sürümünden 3000.2 sürümüne kadar olan 3000 sürümlerinde bir sorun tespit edilmiştir. salt-master sürecinin ClearFuncs sınıfı, yolları yeterince temizlemeyen bazı metotlara erişime izin vermektedir. Bu metotlar, kimliği doğrulanmış kullanıcıların keyfi dizinlere erişmesine olanak tanımaktadır.
Kaynaktaki açıklama (İngilizce)
An issue was discovered in SaltStack Salt before 2019.2.4 and 3000 before 3000.2. The salt-master process ClearFuncs class allows access to some methods that improperly sanitize paths. These methods allow arbitrary directory access to authenticated users.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| SaltStack Salt | Sürüm belirtilmemiş | – |
Kaynaklar14 kaynak
- CVE.org kaydı
- NVD kaydı
- lists.opensuse.org/opensuse-security-announce/2020-04/msg00047.html Üretici bülteni
- debian.org/security/2020/dsa-4676 Üretici bülteni
- tools.cisco.com/…t/CiscoSecurityAdvisory/cisco-sa-salt-2vx545AG Üretici bülteni
- lists.opensuse.org/opensuse-security-announce/2020-07/msg00070.html Üretici bülteni
- usn.ubuntu.com/4459-1 Üretici bülteni
- docs.saltstack.com/en/latest/topics/releases/2019.2.4.html Diğer
- github.com/…ob/v3000.2_docs/doc/topics/releases/3000.2.rst Diğer
- packetstormsecurity.com/…60/Saltstack-3000.1-Remote-Code-Execution.html Diğer
- vmware.com/security/advisories/VMSA-2020-0009.html Diğer
- packetstormsecurity.com/…ion-Unauthenticated-Remote-Code-Execution.html Diğer
- lists.debian.org/debian-lts-announce/2020/05/msg00027.html Diğer
- support.blackberry.com/kb/articleDetail Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.