SaltStack Salt のOSコマンドインジェクションの脆弱性（CVE-2020-16846）

何が起きた

サーバーをまとめて管理するツール SaltStack Salt の Salt API で、SSH クライアントが有効なときに細工したウェブリクエストを送ると、シェルインジェクションができる弱点が見つかりました。CISA によると、Salt API にネットワークでつながる攻撃者は、ログインなしでこの弱点を使ってプログラムを動かせます。NVD の評価でも、ネットワーク経由で、ログインなし、利用者の操作なしで悪用できるとされています。CISA は、実際に悪用が確認されたとして KEV に載せています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、SaltStack Salt の 3002 までのバージョンが影響を受けます。CISA によると、Salt API を動かしているすべての利用者が対象です。

何をすればいい

Salt のリリースノートによると、3002.1 で Salt API の ssh クライアントへのシェルインジェクションが修正されています。3002 を使っている場合は 3002.1 以降に更新してください。ほかの系統の修正版は、公式の案内を確認してください。

やることチェックリスト

• Salt を 3002.1 以降に更新する
• Salt API を動かしているか確かめる
• メーカーの案内に従ってほかの系統も更新する

用語メモ

Salt API

Salt をウェブの仕組みを通して外から操作するための窓口です。

シェルインジェクション

入力に命令を紛れ込ませ、コンピューターに意図しない命令を実行させる攻撃です。

SSH

離れたコンピューターに安全につないで操作するための仕組みです。