دو نقص امنیتی “Critical” در پیکربندی فریم ورک SaltStack Sat شناسایی شده که می تواند به یک هکر اجازه دهد کد دلخواه خود را روی سرورهای از راه دور مستقر در مراکز داده و محیط ابری اجرا کند. این آسیب پذیری توسط محققان F-Secure در اوایل ماه مارس شناسایی شد و در روز پنجشنبه (یک روز پس از انتشار)، SaltStack یک وصله امنیتی (نسخه ۳۰۰۰٫۲) برای رفع این مشکل که دارای امتیاز CVSS 10 است، را منتشر کرد.
موسسه امنیت سایبری F-Secure گفت: “این آسیب پذیری ها با شناسه های CVE-2020-11651 و CVE-2020-11652 قابل ردیابی بوده و از دونوع کلاس مختلف تشکیل شده اند”. محققان هشدار داده اند كه از این نقص ها می توان بی نهایت بهره برداری کرد. SaltStack کاربران را ترغیب می کند تا از بهترین راهکارها برای تأمین امنیت محیط Salt استفاده کنند.
آسیب پذیری در پروتکل ZeroMQ
فرآیند Salt یک اتوماسیون قدرتمند مبتنی بر پایتون و engine اجرایی از راه دور است که به کاربران این امکان را می دهد دستورات مربوط به چندین دستگاه را به طور مستقیم صادر کنند. Salt به عنوان ابزاری برای نظارت و بروزرسانی وضعیت سرورها ساخته شده و از یک معماری master-slave استفاده می کند. این فرایند قادر است pushing به روز کردن پیکربندی و به روز رسانی نرم افزار را از یک مخزن مرکزی با استفاده از گره “master” بصورت گسترده انجام دهد.
“آسیب پذیری های توصیف شده در این روادید به مهاجم اجازه اتصال به پورت ‘request server” را می دهد تا فرآیند های کنترل authentication و authorization را بایپس کند. پس از آن مهاجم می تواند پیام های دلخواه خود را منتشر کند، فایلها را در هر مکانی روی سیستم سرور” master “بخواند و بنویسد و کلید مخفی را سرقت کند. در ادامه محققان اظهار داشتند كه احراز هویت master در سطح دسترسی Root صورت می گیرد. “
به عبارت دیگر، یک مهاجم می تواند از نقص های امنیتی شناسایی شده برای برقراری ارتباط با دستورات administrative بر روی سرور اصلی و همچنین از queue message که به طور مستقیم بر روی سرور اصلی منتشر شده استفاده کند و از این طریق به salt minions اجازه دهد دستورات مخرب را اجرا کند.
تشخیص Salt Masters آسیب پذیر
محققان F-Secure گفتند: اسكن اولیه، بیش از ۶۰۰۰ نمونه salt آسیب پذیر را در معرض اینترنت عمومی نشان داد.
بنابراین شناسایی حملات احتمالی علیه masters ها، مستلزم ممیزی پیام های منتشر شده برای هرگونه محتوای مخرب است. “سوءاستفاده از آسیب پذیری های احراز هویت منجر به استرینگ های ASCII” _prep_auth_info “یا” _send_pub “در داده های ارسال شده به پورت سرور درخواست (پیش فرض ۴۵۰۶) خواهد شد.”
توصه مهم: کاربران Salt بسته های نرم افزاری را به آخرین نسخه بروز کنند.