SaltStack Los errores críticos de Salt permiten el centro de datos y el secuestro del servidor en la nube como root


Los desarrolladores del marco de gestión de código abierto SaltStack Salt, utilizado en centros de datos y servidores en la nube, han advertido a los usuarios que actualicen sus compilaciones después del descubrimiento de vulnerabilidades críticas de ejecución remota de código.

Investigadores de F-Protected reveló los errores el jueves. Seguido como CVE-2020-11651 y CVE-2020-11652, las vulnerabilidades se han emitido calificaciones de alta gravedad y se consideran lo suficientemente críticas como para que el equipo responsable de encontrar las fallas no publique ningún código de Prueba de concepto (PoC).

«Esperamos que cualquier hacker competente pueda crear exploits 100% confiables para estos problemas en menos de 24 horas», dijo F-Secure. «Debido a la confiabilidad y la simplicidad de la explotación, F-Safe no proporcionará código de explotación de prueba de concepto, ya que esto solo dañaría a los usuarios que son lentos para aplicar parches».

Las vulnerabilidades están presentes en SaltStack Salt versiones anteriores a 2019.2.4 y 3000.2.

Ver también: GitLab otorga al investigador $ 20,000, parches de mistake de ejecución remota

Los servidores que ejecutan Salt tienen un agente API «minion» que se conecta a una instalación «maestra» del software program. Los informes sobre el estado de los servidores minion se envían al nodo maestro, que a su vez puede publicar mensajes de actualización, como cambios de configuración, que se pueden implementar en cualquier servidor bajo su administración.

El protocolo de comunicación en uso es ZeroMQ, de los cuales se exponen dos instancias, los servidores de «solicitud» y «publicación».

El primer mistake, CVE-2020-11651, es una omisión de autenticación, mientras que el segundo, CVE-2020-11652, es una falla de seguridad transversal del directorio.

CVE-2020-11651 fue causado por la clase ClearFuncs, que expone los métodos _ship_pub () y _prep_auth_details (). Los mensajes se pueden usar para activar minions para ejecutar comandos arbitrarios y la clave raíz también se puede obtener para llamar a comandos administrativos en el servidor maestro.

«Esta exposición involuntaria proporciona un atacante remoto no autenticado con acceso equivalente a la raíz al maestro de sal», dicen los investigadores.

CNET: Google toma medidas enérgicas contra las extensiones spam de Chrome con nuevas actualizaciones de políticas

CVE-2020-11652 se relaciona con el módulo de rueda de sal, que contiene comandos para funciones de lectura / escritura en rutas de directorio específicas. La falta de desinfección llevó a los atacantes a la oportunidad de reescribir los elementos de la ruta, con las clases de captura de tokens también expuestas a través de la vulnerabilidad de la clase ClearFuncs.

Juntos, los errores permitieron a los atacantes conectarse para solicitar puertos del servidor para evitar las verificaciones de autenticación y publicar mensajes arbitrarios, así como acceder al sistema de archivos completo de un servidor maestro, robar la clave utilizada para autenticarse en los servidores maestros como root y ejecutar de forma remota codifique no solo el sistema maestro sino todos los minions conectados al framework.

TechRepublic: Cómo verificar si hay contraseñas débiles en sus sistemas Linux con John the Ripper

Los desarrolladores de SaltStack fueron informados de las vulnerabilidades el 16 de marzo. A medida que SaltStack resolvió los problemas, F-Protected realizó un análisis de instancias con conexión a Net, encontrando más de 6,000 casos de sistemas potencialmente vulnerables.

Para el 23 de abril, los desarrolladores alertaron Miembros de la comunidad (.PDF) a un parche entrante e instó a los usuarios a asegurarse de que sus maestros de sal no estuvieran expuestos a Net. Las soluciones para las fallas críticas, publicadas en las versiones de application 2019.2.4 y 3000.2, se lanzaron el 29 de abril.

Cobertura previa y relacionada


¿Tienes una propina? Póngase en contacto de forma segura a través de WhatsApp | Señal en +447713 025 499, o más en Keybase: charlie0




Enlace a la noticia unique