Trusted Design

CVE-2020-11652 の詳細

CVEの情報

説明:
An issue was discovered in SaltStack Salt before 2019.2.4 and 3000 before 3000.2. The salt-master process ClearFuncs class allows access to some methods that improperly sanitize paths. These methods allow arbitrary directory access to authenticated users.

CVE更新日: 2020-04-30 17:15:12.190000

CVSSバージョン: 3.1

CVSSスコア: 6.5

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.861780000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2020-11652は、SaltStack Saltに存在するディレクトリトラバーサルの脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

SaltStack Saltのsalt-masterプロセスのClearFuncsクラスにおいて、パスを適切にサニタイズしないメソッドにアクセスできる問題が発見されました。これにより、認証されたユーザーが任意のディレクトリにアクセスできるようになります。この脆弱性は、通常、認証バイパスの脆弱性であるCVE-2020-11651と組み合わせて悪用されることで、未認証のリモート攻撃者が任意のファイル読み書きやリモートからのコード実行を可能にします。

1.1 影響

  • 認証されたユーザーが、影響を受けるシステム上で任意のディレクトリにアクセスできるようになります。これにより、機密情報への不正アクセス、データ窃盗、またはさらなるシステム侵害につながる可能性があります。
  • 本脆弱性単体では、機密性への影響は「高」ですが、完全性および可用性への影響は「なし」と評価されています。
  • しかし、CVE-2020-11651と組み合わせることで、Masterサーバーおよびそれに接続されているすべてのMinionでroot権限でのリモートコード実行が可能になります。
  • この脆弱性は、CoinminerやKinsing RATなどの不正な仮想通貨マイニングソフトウェアのインストールを目的として、実際に悪用された事例が報告されています。

1.2 深刻度

NVDにおけるCVSS v3.1基本スコアは6.5（中）です（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N）。 しかし、CVE-2020-11651と組み合わせて悪用された場合、CVSSスコアは9.8または10.0の「緊急」または「高」と評価されており、root権限でのリモートコード実行につながる可能性があります。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに限定されず、SaltStack Saltのバージョンに依存します。以下のバージョンが影響を受けます。

  • SaltStack Salt 2019.2.4より前のバージョン
  • SaltStack Salt 3000.2より前のバージョン (3000系)
  • サポート終了したSaltStack Salt 2015.8系、2016.3系、2016.11系、2017.7系、2018.3系も影響を受けると報告されています。

2.2 影響を受ける設定

  • salt-masterプロセスのClearFuncsクラスが影響を受けます。
  • Salt Masterのデフォルトポート（TCP 4505および4506）がインターネットに公開されている場合、脆弱なシステムが悪用される可能性があります。

3. 影響を受けた時の兆候

  • 不正な仮想通貨マイニングソフトウェア（例：Coinminer、Kinsing RAT）がインストールされる。
  • 不審なアクティビティや不正なアクセス試行のログが確認される。
  • システム負荷やネットワークトラフィックが異常に増加する。

4. 推奨対策

4.1 本対策

  • SaltStack Saltを以下のいずれかのバージョン以降にアップグレードしてください。
    • SaltStack Salt 2019.2.4
    • SaltStack Salt 3000.2
  • 修正パッチでは、ClearFuncsメソッド内のパスをサニタイズし、ファイルシステムリンクを解決するための_realpath()関数と、パスを検証するためのclean_path()関数が追加されています。

4.2 暫定回避策（緩和策）

  • 直ちにパッチ適用が不可能な場合は、Salt Masterの露出を信頼できるネットワークとユーザーのみに制限するため、ネットワークセグメンテーションとアクセス制御を実施してください。
  • Salt Masterのデフォルトリスニングポート（デフォルトの4505および4506）を公共ネットワークからのアクセスを禁止するか、信頼できるエンティティのみに開放するように設定してください。
  • 不審なアクティビティや不正アクセス試行を監視してください。
  • 最小権限の原則を確実にするため、ユーザー認証とアクセス権限を定期的に監査してください。
  • 潜在的な悪用試行を監視するために、侵入検知システムなどの追加のセキュリティ対策の導入を検討してください。
  • Salt Masterをアクティブに使用していない場合は、無効にすることを検討してください。

参照したサイト

他に解説すべき観点

CVE-2020-11652は、単独で悪用される場合（認証されたユーザーによるディレクトリトラバーサル）よりも、認証バイパスの脆弱性であるCVE-2020-11651と組み合わせて悪用されることで、その深刻度と影響が大幅に増大します。多くの公開されたエクスプロイトコードや脅威分析は、これら二つの脆弱性を連携させてリモートコード実行を実現するシナリオに焦点を当てています。

NVDサイト

NVDでCVEの詳細を見る

戻る