Trusted Design

CVE-2020-11651 の詳細

CVEの情報

説明:
An issue was discovered in SaltStack Salt before 2019.2.4 and 3000 before 3000.2. The salt-master process ClearFuncs class does not properly validate method calls. This allows a remote user to access some methods without authentication. These methods can be used to retrieve user tokens from the salt master and/or run arbitrary commands on salt minions.

CVE更新日: 2020-04-30 17:15:12.143000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.966140000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

SaltStack Saltの認証バイパスの脆弱性であるCVE-2020-11651について解説します。

1. 脆弱性の概要

CVE-2020-11651は、SaltStack Saltの構成管理ツールに存在する認証バイパスの脆弱性です。Salt MasterプロセスのClearFuncsクラスがメソッド呼び出しを適切に検証しないために発生します。これにより、認証されていないリモートの攻撃者が、特定のメソッドにアクセスできるようになります。これらのメソッドを悪用することで、Salt Masterからユーザーのトークンを窃取したり、Salt Minionに対して任意のコマンドを実行したりすることが可能になります。

1.1 影響

この脆弱性が悪用されると、認証されていないリモートの攻撃者が認証メカニズムを迂回し、Salt Masterからユーザーのトークン（ルートキー）を盗み出し、管理対象のすべてのSalt Minionで任意のコマンドを実行できるようになります。 これにより、インフラストラクチャ全体の完全な侵害につながる可能性があります。 攻撃者はroot権限でコマンドを実行できます。

1.2 深刻度

CVSSv3スコアは9.8 (Critical) であり、深刻度は「緊急」または「Critical」と評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

CVE-2020-11651の影響を受けるのは以下のSaltStack Saltのバージョンです。

  • SaltStack Salt バージョン 2019.2.4 より前のバージョン (2019.2.3 以前)
  • SaltStack Salt バージョン 3000.2 より前のバージョン (3000.1 以前)
  • サポートが終了しているSaltStack Saltの以下のバージョンも影響を受けます: 2015.8系、2016.3系、2016.11系、2017.7系、2018.3系。
  • その他、オープンソースのオペレーティングシステムにも影響が確認されています。
    • openSUSE Leap 15.1
    • Debian Linux 8.0, 9.0, 10.0
    • Canonical Ubuntu Linux 16.04 ESM, 18.04 LTS
    • VMware Application Remote Collector 7.5.0, 8.0.0

2.2 影響を受ける設定

Salt Masterがデフォルト設定でサービスをすべてのインターフェースで待ち受けている場合、想定しないアクセスを受ける可能性があります。 Salt Masterがインターネットに公開されている場合、この脆弱性は容易に悪用される可能性があります。

3. 影響を受けた時の兆候

  • Salt Masterのポート（4505/TCPおよび4506/TCP）への、不明なIPアドレスからの予期しない接続。
  • 対応する有効なセッションのない、Salt Masterログ内の不審な認証リクエスト。
  • 仮想通貨マイニングなどの不正なアクティビティが確認されることがあります。 攻撃にはKinsing/H2Minerボットネットが使用され、マイニングプログラム（XMRig）が「salt-minions」、「salt-minions-bak」、「salt-store」といった名前で実行されることがあります。

4. 推奨対策

4.1 本対策

  • Saltのアップデート: SaltStackから脆弱性を修正したバージョンのSaltが公開されています。十分なテストを実施の上、以下の修正済みバージョンを適用してください。
    • Salt versions 2019.2.4 以降
    • Salt versions 3000.2 以降
    • サポートが終了しているバージョンを使用している場合は、サポート対象のバージョンへのアップデートが強く推奨されています。
  • 自動更新の設定: SaltStackを自動更新するように設定し、適時にパッチを適用することが推奨されます。

4.2 暫定回避策（緩和策）

  • ネットワークアクセスの制限: Salt Masterが使用するデフォルトポート（4505/TCPおよび4506/TCP）へのアクセスを制限し、公衆ネットワークからのアクセスを禁止するか、信頼できるIPアドレスのみに許可するよう、適切にネットワークセキュリティ制御を実装してください。
  • SaltStackは、基本的なインターネットセキュリティガイドラインとベストプラクティスに従っている顧客は、この脆弱性の影響を受けないと述べています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る