SaltStack Salt API'de SSH istemcisi etkinken kabuk komutu enjeksiyonu

ÖzetTürkçe

SaltStack Salt'ın 3002 dahil önceki sürümlerinde, SSH istemcisi etkinleştirilmiş Salt API'ye özel hazırlanmış web istekleri gönderilerek kabuk komutu enjeksiyonu yapılabilmektedir. Saldırı ağ üzerinden, kimlik doğrulaması ve kullanıcı etkileşimi gerektirmeden gerçekleştirilebilir. Salt API'yi SSH istemcisi etkin şekilde çalıştıran tüm sistemler etkilenir. Açık, CISA'nın bilinen sömürülen açıklar (KEV) listesinde yer almaktadır.

Saldırgan ne yapabilir?

Saldırgan, Salt API'yi çalıştıran sunucuda kimlik doğrulaması olmadan işletim sistemi komutları çalıştırabilir. Bu da sunucunun ve büyük olasılıkla Salt ile yönetilen sistemlerin tamamen ele geçirilmesine yol açabilir.

Ne yapmalı?

1. SaltStack Salt'ı satıcı talimatlarına uygun olarak, bu açığın giderildiği güncel sürüme yükseltin; 3002 ve öncesi sürümler savunmasızdır. Genel öneri
2. CISA'nın gerektirdiği şekilde, satıcı yönergelerine göre güncellemeleri uygulayın. CISA
3. Güncelleme hemen mümkün değilse Salt API'yi kapatın veya SSH istemcisi özelliğini devre dışı bırakın. Genel öneri
4. Salt API'ye erişimi güvenlik duvarıyla yalnızca güvenilen yönetim ağlarıyla sınırlandırın. Genel öneri

Ek önlemler

• Salt API ve yönetim arayüzlerini doğrudan internete açmayın; VPN veya erişim kontrol listeleriyle koruyun. Genel öneri
• Salt sunucusunda ve yönetilen sistemlerde beklenmeyen komut çalıştırma, yeni kullanıcı veya zamanlanmış görev izlerini kontrol edin. Genel öneri
• Salt API'ye gelen şüpheli istekler için günlük kayıtlarını izleyin ve uyarı kuralları tanımlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

Kaynaklar16 kaynak

• CVE.org kaydı
• NVD kaydı
• lists.fedoraproject.org/…t.org/message/TPOGB2F6XUAIGFDTOCQDNB2VIXFXHWMA Üretici bülteni
• lists.opensuse.org/opensuse-security-announce/2020-11/msg00029.html Üretici bülteni
• security.gentoo.org/glsa/202011-13 Üretici bülteni
• debian.org/security/2021/dsa-4837 Üretici bülteni
• github.com/saltstack/salt/releases Diğer
• saltstack.com/…20-saltstack-publicly-disclosed-three-new-cves Diğer
• packetstormsecurity.com/…Salt-REST-API-Arbitrary-Command-Execution.html Diğer
• zerodayinitiative.com/advisories/ZDI-20-1381 Diğer
• zerodayinitiative.com/advisories/ZDI-20-1383 Diğer
• zerodayinitiative.com/advisories/ZDI-20-1380 Diğer
• zerodayinitiative.com/advisories/ZDI-20-1379 Diğer
• zerodayinitiative.com/advisories/ZDI-20-1382 Diğer
• lists.debian.org/debian-lts-announce/2020/12/msg00007.html Diğer
• lists.debian.org/debian-lts-announce/2022/01/msg00000.html Diğer

Kayıt geçmişi

1. 3 Kas 2021CISA KEV listesine eklendi (saldırılarda kullanılıyor)
2. 6 Kas 2020 10:27Yayımlandı

İlgili açıklar

• 6,5 CVE-2020-11652 Aktif istismarSaltStack Salt'ta yetkisiz dizin erişimine yol açan yol geçişi (path traversal) açığı
• 9,8 CVE-2020-11651 Aktif istismarSaltStack Salt'ta kimlik doğrulama atlatma: master üzerinden komut çalıştırma
• 7,8 CVE-2026-118615Ultralytics torch_safe_load Command Injection Remote Code Execution Vulnerability
• 6,8 CVE-2026-118607Alpine iLX-F511 diagapp Command Injection Vulnerability
• 8,8 CVE-2026-106079Session Smart Router and Session Smart Conductor: Improper validation of a field causes privilege escalation when updating the YANG configuration
• 9,8 CVE-2026-103406Session Smart Conductor: An unauthenticated attacker causes arbitrary command execution during key management.