Lỗ hổng nghiêm trọng trong Salt - Hãy cập nhật bản vá ngay
Các nhà nghiên cứu của F-Secure vừa phát hiện 02 lỗ hổng nghiêm trọng trong các phiên bản Salt Master. Trong đó, có một lỗ hổng trong phiên bản Salt Master 3000.1 được đánh giá điểm CVSS ở mức cao nhất là 10.0.
Salt là một dự án mã nguồn mở do SaltStack quản lý, một công cụ cấu hình phổ biến để quản lý các máy chủ trong trung tâm dữ liệu và môi trường đám mây. Một Salt Master kết nối tới các agent trên hàng trăm các máy chủ khác được gọi là minion (tay sai). Salt thu thập báo cáo trạng thái từ các minion và cập nhật các chức năng minion có thể thực hiện, thường là các cập nhật về cấu hình.
Hai lỗ hổng được F-Secure công bố là: lỗi qua mặt cơ chế xác thực (CVE-2020-11651) và Directory traversal (tấn công cho phép hacker truy cập vào các thư mục và tập tin cấm trên máy chủ - CVE-2020-11562). Cả 2 lỗ hổng được các kỹ sư SaltStack vá trong bản phiên 3000.2
Lỗ hổng đầu tiên nằm trong một class ClearFuncs có chức năng xử lý các yêu cầu không được xác thực, nhưng vô tình làm lộ phương thức _send_pub() có thể để sử dụng để ra lệnh minon chạy các lệnh tùy ý dưới quyền root. CleanFuncs cũng có thể được sử dụng để lấy ‘root key’ và xác thực các lệnh từ người dùng root trên máy chủ web. Cuối cùng kẻ tấn công có thể truy cập từ xa không cần xác thực với quyền root khi truy cập tới Salt Master.
Lỗ hổng thứ 2 Directory traversal cũng do class ClearFuncs không xác thực được các token và sau đó cũng không kiểm tra xử lý trước khi đặt làm tên file. Việc này cho phép chèn thêm ký tự ‘..’ để đọc các file thư mục bên ngoài.
Theo cảnh báo của F-Secure “bất kỳ hacker nào cũng có thể khai thác các lỗ hổng này” và thúc giục người dùng cập nhật ngay lập tức.
Bên cạnh đó, hacker có thể khai thác lỗ hổng để đào tiền ảo trên hàng trăm máy chủ, hay có thể cài đặt mã độc backdoor để đánh cắp dữ liệu hoặc tống tiền, đặc biệt là với 6.000 SaltMaster được tìm thấy trên internet.
Các máy chủ Salt kết nối Internet sẽ khiến việc tấn công trở lên dễ dàng hơn, nhưng đối với các máy chủ không kết nối Internet vẫn có thể bị khai thắc bằng cách truy cập mạng của công ty.
Salt là một dự án mã nguồn mở do SaltStack quản lý, một công cụ cấu hình phổ biến để quản lý các máy chủ trong trung tâm dữ liệu và môi trường đám mây. Một Salt Master kết nối tới các agent trên hàng trăm các máy chủ khác được gọi là minion (tay sai). Salt thu thập báo cáo trạng thái từ các minion và cập nhật các chức năng minion có thể thực hiện, thường là các cập nhật về cấu hình.
Hai lỗ hổng được F-Secure công bố là: lỗi qua mặt cơ chế xác thực (CVE-2020-11651) và Directory traversal (tấn công cho phép hacker truy cập vào các thư mục và tập tin cấm trên máy chủ - CVE-2020-11562). Cả 2 lỗ hổng được các kỹ sư SaltStack vá trong bản phiên 3000.2
Lỗ hổng đầu tiên nằm trong một class ClearFuncs có chức năng xử lý các yêu cầu không được xác thực, nhưng vô tình làm lộ phương thức _send_pub() có thể để sử dụng để ra lệnh minon chạy các lệnh tùy ý dưới quyền root. CleanFuncs cũng có thể được sử dụng để lấy ‘root key’ và xác thực các lệnh từ người dùng root trên máy chủ web. Cuối cùng kẻ tấn công có thể truy cập từ xa không cần xác thực với quyền root khi truy cập tới Salt Master.
Lỗ hổng thứ 2 Directory traversal cũng do class ClearFuncs không xác thực được các token và sau đó cũng không kiểm tra xử lý trước khi đặt làm tên file. Việc này cho phép chèn thêm ký tự ‘..’ để đọc các file thư mục bên ngoài.
Theo cảnh báo của F-Secure “bất kỳ hacker nào cũng có thể khai thác các lỗ hổng này” và thúc giục người dùng cập nhật ngay lập tức.
Bên cạnh đó, hacker có thể khai thác lỗ hổng để đào tiền ảo trên hàng trăm máy chủ, hay có thể cài đặt mã độc backdoor để đánh cắp dữ liệu hoặc tống tiền, đặc biệt là với 6.000 SaltMaster được tìm thấy trên internet.
Các máy chủ Salt kết nối Internet sẽ khiến việc tấn công trở lên dễ dàng hơn, nhưng đối với các máy chủ không kết nối Internet vẫn có thể bị khai thắc bằng cách truy cập mạng của công ty.
Theo Security Week
Chỉnh sửa lần cuối bởi người điều hành: