安全预警 - 涉及米乐m6 部分产品的SaltStack漏洞安全更新

预警编号：INSPUR-SA-202011-001

初始发布时间：2020-11-25 18:32:32

更新发布时间：2020-11-25 18:32:32

漏洞来源： saltstack中国官方网站批露

漏洞影响：进行网络攻击成功的用以上所述木马病毒可躲过地位印证，实现了手机远程编号执行力或提取系统软件神经敏感消息。

缺陷描术：

CVE-2020-16846：命令注入漏洞，未经过身份验证的攻击者通过发送特制请求包，可通过 Salt API 注入 ssh 连接命令。导致命令执行
CVE-2020-17490：逻辑漏洞，Salt tls执行模块中函数 create_ca，create_csr和create_self_signed_cert中存在逻辑漏洞，本地攻击者通过以低权限用户登录salt主机，可以从当前salt程序主机上读取到密钥内容，导致信息泄漏。
CVE-2020-25592：验证绕过漏洞，Salt在验证eauth凭据和访问控制列表ACL时存在一处验证绕过漏洞，未经过身份验证的远程攻击者通过发送特制的请求包，可以通过salt-api绕过身份验证💖，并使用 salt ssh连接目标服务器，结合CVE-2020-16846可能造成命令执行。

CVSS计分：

CVE	V3.1 Vector(Base)	Base Score	V3.1 Vector(Temporal Score)	Temporal Score
CVE-2020-16846	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	9.8	E:P/RL:O/RC:C	8.8
CVE-2020-17490	AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N	7.5	E:U/RL:O/RC:C	6.5
CVE-2020-25592	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	9.8	E:P/RL:O/RC:C	8.8

受决定护肤品：

产品名称	受影响产品版本	修复补丁包/升级包版本
AS13000	3.6.3.9	3.6.3.9:Salt-2015.8-AS13000--3.6.3.9-update.zip
AS13000	3.6.3.9-SP1
AS13000	3.6.3.9-SP2
AS13000	3.6.3.9-SP3
AS13000	3.6.3.9-SP4
AS13000	3.6.3.9-SP5
AS13000	3.4.3.7	3.4.3.6/7:salt-centos6-2015.8-AS13000-3.4.3.7-update.zip
AS13000	3.4.3.6	3.4.3.6/7:salt-centos6-2015.8-AS13000-3.4.3.7-update.zip

技术性地方： CVE-2020-16846和CVE-2020-25592团体动用可在未授权许可的条件下凭借salt-api功能程序执行强制性多个强制性。CVE-2020-25592支持的多个微信普通顾客跳转SSH功能，CVE-2020-16846支持的微信普通顾客程序执行强制性多个强制性。salt-api虽不能设置开放系统配置，但乃至半数以上SaltStack微信普通顾客会抉择开放salt-api，故留存较唐筛临界风险分析。 bug消除实施方案：请按户之间搞好关系客服务质量工作员或读取qq邮件至sun.meng@fzjzl.com，获得版补丁，及及相关的的技能积极配合。 FAQ：无更新时间记载：

20201125-V1.0-Initial Release

米乐m6 很安全应急管理响应的多对外谎称功能：

米乐m6 一贯主张尽全力保障产品用户的最终利益，遵循负责任的安全事件披露原则，并通过产品安全问题处理机制处理产品安全问题。

反馈米乐m6 产品安全问题： //fzjzl.c⭕om/lcjtww/psirt/vulnerability-management/index.html#report_ldbg

订阅米乐m6 产品安全信息：

获取技术支持：//fzjzl.com/lcjtww/231745🐈2/2317456/2317460/index.html

声明怎么写

本文作者档带来了的整个数据表格和米乐m6 短信仅涉及到参考在使用，且"按原样"带来了，不承诺书丝毫明确表示、默示和法的信用保证担保，分为(但不涉及到)对适销性、适用人群性及不侵犯商标权的信用保证担保。在丝毫情况发生下，米乐m6 或其马上或简接掌控的子集团公司，或其供给商，均不合适丝毫一人因依赖症或在使用本米乐m6 短信而承受的丝毫财产盘亏履行追求与义务，分为马上，简接，偶尔，必然趋势的商业地产店铺生意利润财产盘亏或层次性财产盘亏。米乐m6 留下及时重设或更新换代拙作档的追求。