【产品技术】关于HSS的漏洞检测与修复最佳案例01
【摘要】 SaltStack远程命令执行漏洞（CVE-2020-11651/CVE-2020-11652）近日，华为云关注到国外安全研究人员披露SaltStack存在两个严重的安全漏洞。Saltstack是基于python开发的一套C/S自动化运维工具，此次被爆当中存在身份验证绕过漏洞（CVE-2020-11651）和目录遍历漏洞（CVE-2020-11652），攻击者利用漏洞可实现远程命令执行、读取...
SaltStack远程命令执行漏洞（CVE-2020-11651/CVE-2020-11652）
近日，华为云关注到国外安全研究人员披露SaltStack存在两个严重的安全漏洞。Saltstack是基于python开发的一套C/S自动化运维工具，此次被爆当中存在身份验证绕过漏洞（CVE-2020-11651）和目录遍历漏洞（CVE-2020-11652），攻击者利用漏洞可实现远程命令执行、读取服务器上任意文件、获取敏感信息等。
华为云提醒使用SaltStack的用户尽快安排自检并做好安全加固。
漏洞编号
CVE-2020-11651
CVE-2020-11652
漏洞名称
SaltStack远程命令执行漏洞
影响范围
影响版本：
低于SaltStack 2019.2.4的版本
低于SaltStack 3000.2的版本
安全版本：
SaltStack 2019.2.4
SaltStack 3000.2
官网解决方案
目前官方已在最新版本中修复了这两处漏洞，请受影响的用户及时升级到安全版本。
Salt Master默认监听端口为“4505”和“4506”，用户可通过配置安全组，禁止将其对公网开放，或仅对可信对象开放。
检测与修复建议
华为云企业主机安全服务对该漏洞的便捷检测与修复。
【声明】本内容来自华为云开发者社区博主，不代表华为云及华为云开发者社区的观点和立场。转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息，否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱：
cloudbbs@huaweicloud.com
- 点赞
- 收藏
- 关注作者
作者其他文章
评论（0）