Trusted Design

CVE-2020-16846 の詳細

CVEの情報

説明:
An issue was discovered in SaltStack Salt through 3002. Sending crafted web requests to the Salt API, with the SSH client enabled, can result in shell injection.

CVE更新日: 2020-11-06 08:15:13.283000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.995850000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-16846に関する調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2020-16846は、SaltStack Saltバージョン3002以前に存在する、リモートからのシェルインジェクションの脆弱性です。この脆弱性は、Salt APIが実行されており、SSHクライアント機能が有効になっている場合に発生します。認証されていないリモートの攻撃者が、特別に細工されたWebリクエストをSalt APIに送信することで、任意のオペレーティングシステムコマンドを実行できる可能性があります。

1.1 影響

この脆弱性は、不適切な入力検証とサニタイズに起因するコマンドインジェクション（CWE-78）の脆弱性であり、攻撃者は、認証なしにネットワーク経由で任意のコマンドを実行できます。これにより、システムの完全な侵害、データの持ち出し、内部ネットワークへの侵入、永続的なバックドアの設置など、深刻な影響が発生する可能性があります。

1.2 深刻度

CVSS v3.1スコアは「9.8」（緊急/Critical）と評価されています。 機密性、完全性、可用性への影響はいずれも「高」とされています。 また、CISAのKnown Exploited Vulnerabilities（KEV）カタログにも追加されており、実際に悪用が確認されている脆弱性です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

SaltStack Saltのバージョン3002以前（3001、3002を含む、およびそれ以前のバージョン）が影響を受けます。 具体的に影響が確認されているディストリビューションは以下の通りです。

  • SaltStack Salt 3002まで
  • Debian Linux 9.0 および 10.0
  • Fedora 31
  • openSUSE Leap 15.1
  • その他、SaltStack Saltの以下のバージョンも影響を受けます。
    • 3001.1, 3001.2
    • 3000.3, 3000.4
    • 2019.2.5, 2019.2.6
    • 2018.3.5
    • 2017.7.4, 2017.7.8
    • 2016.11.3, 2016.11.6, 2016.11.10
    • 2016.3.4, 2016.3.6, 2016.3.8
    • 2015.8.10, 2015.8.13

2.2 影響を受ける設定

Salt APIが実行されており、SSHクライアント機能が有効になっている環境が影響を受けます。 この脆弱性は、Salt APIへのアクセス権を持つすべてのユーザーに影響を与えます。

3. 影響を受けた時の兆候

本脆弱性が悪用された際の具体的な兆候は明示されていません。しかし、攻撃者はシステム上で任意のコマンドを実行できるため、不正なプロセス、予期しないシステム動作、不審なネットワーク通信、設定の変更、またはデータの改ざんなど、一般的なシステム侵害の兆候が見られる可能性があります。

4. 推奨対策

4.1 本対策

SaltStackは、2020年11月3日にこの脆弱性に対処するセキュリティパッチをリリースしています。 影響を受けるシステムは、速やかにパッチが適用されたバージョン（2020年11月3日以降にリリースされたバージョン）に更新する必要があります。

以下のディストリビューション向けに、更新パッケージが提供されています。

  • Debian: セキュリティアドバイザリ DSA-4837 および Debian LTSアナウンスを参照してください。
  • Fedora: パッケージの更新が利用可能です。
  • openSUSE: セキュリティアナウンスを参照してください。
  • Gentoo: GLSA 202011-13 を参照してください。

4.2 暫定回避策（緩和策）

パッチの即時適用が困難な場合は、以下の緩和策を検討してください。

  • Salt APIサービスの無効化: 操作にSalt APIが不要な場合は、サービスを完全に停止および無効化します。
    • systemctl stop salt-api
    • systemctl disable salt-api
  • Salt APIへのアクセス制限: ファイアウォールルールを設定し、Salt APIへのアクセスを信頼できる管理ネットワークのみに制限します。
    • 例 (iptables): iptables -A INPUT -p tcp --dport 8000 -s 10.0.0.0/24 -j ACCEPT; iptables -A INPUT -p tcp --dport 8000 -j DROP
  • SSHクライアント機能の無効化: Salt設定でSSHクライアント機能が使用されていない場合は無効にします。
  • リバースプロキシの導入: Salt APIエンドポイントを、厳格な入力検証とWebアプリケーションファイアウォール（WAF）ルールを備えたリバースプロキシの背後に配置します。

参照したサイト

他に解説すべき観点

  • 関連する他の脆弱性: CVE-2020-16846は、CVE-2020-25592（不適切な認証の脆弱性）と組み合わせることで、認証なしにリモートでrootアクセスを取得できる可能性があります。 SaltStackはこれら両方の脆弱性に対処するパッチをリリースしています。
  • 悪用の容易さ: 認証不要、ユーザーインタラクション不要、攻撃の複雑さも低いため、悪用が非常に容易であるとされています。

NVDサイト

NVDでCVEの詳細を見る

戻る